- Yearn Finance: ataque drena US$ 9 milhões do pool yETH.
- Hacker usa Tornado Cash para ocultar rastros.
- Carteira do invasor ainda mantém milhões em ativos.
A Yearn Finance enfrenta uma das semanas mais tensas de sua história após sofrer um ataque que drenou cerca de US$ 9 milhões de seu pool de yETH. O protocolo, conhecido mundialmente por ser o único a ver seu token YFI superar o preço do Bitcoin, agora lida com uma violação grave que expôs uma vulnerabilidade crítica em um de seus contratos no ecossistema Ethereum.
A PeckShieldAlert identificou o incidente e publicou a estimativa de prejuízo, atribuindo o ataque a uma única transação que cunhou uma quantidade excessiva de tokens yETH, esvaziando o pool em segundos.
O invasor acionou o contrato e, na mesma chamada, reduziu a liquidez do pool a quase zero. A falha ocorreu no lado Ethereum da Yearn, justamente no setor que concentra cofres usados para gerenciar posições de staking e ativos encapsulados. O token yETH opera como um derivativo que segue posições de Ethereum em staking e, por isso, depende de funções restritas e auditorias sólidas. No entanto, o contrato explorado permitiu cunhagem sem limites, e o pool absorveu todo o impacto da operação maliciosa.
Logo após o ataque, o invasor enviou 1.000 ETH para a Tornado Cash, o mixer mais conhecido do Ethereum. A movimentação, avaliada em aproximadamente US$ 3 milhões, foi realizada em múltiplas transações de 100 ETH, seguindo um padrão típico de ofuscação. Os dados on-chain mostram também uma transferência anterior de 1.600 ETH associada ao mesmo endereço relacionado ao ataque.
Yearn Finance
Mesmo após movimentar parte dos recursos, a carteira vinculada ao explorador ainda mantém cerca de US$ 6 milhões em ativos. Dados da Arkham confirmam posições significativas em derivativos de staking, como pXETH, fXETH e stETH, além de saldos menores em ETH, cbETH e tETH. A carteira permanece ativa, mas sem qualquer identificação que revele a identidade do responsável além de tags públicas no blockchain.
A PeckShieldAlert classificou o caso como ataque e alertou que a falha destaca a importância de limites rígidos em funções de cunhagem. Auditorias rotineiras, limites internos e mecanismos de segurança precisam evitar exatamente o tipo de emissão descontrolada que derrubou o pool. Para especialistas, o caso reforça a necessidade de proteger contratos que lidam com derivativos de staking, já que eles costumam reunir valores expressivos e operar com liquidez sensível.
O ataque ocorreu em um momento de forte volatilidade para o Ethereum. No mesmo dia, o ETH caiu 5,3%, fechando o pregão em torno de US$ 2.834 após abrir próximo de US$ 2.992. O movimento rompeu níveis importantes e manteve o preço abaixo da média móvel exponencial de 50 dias. O aumento do volume vendedor confirma a pressão adicional no mercado, já que o ativo segue preso em tendência de baixa desde outubro.
O RSI de 14 dias se aproxima de 34, faixa que indica crescente pressão vendedora. A leitura revela que o mercado de ETH ainda tenta absorver semanas de movimentações negativas e confirma que os recentes recuos não são apenas ruídos ocasionais. Para analistas, o ataque à Yearn amplia o clima de insegurança, sobretudo porque envolve um dos protocolos mais antigos e respeitados do setor DeFi.
