- Ataque drenou $3 milhões em ETH do pool yETH LST da Yearn Finance.
- Exploit usou flash loan e criou oferta praticamente infinita de yETH.
- Valor do yETH despencou para perto de zero após manipulação da lógica interna.
O pool yETH LST da Yearn Finance, na Curve, sofreu um ataque crítico no domingo à noite.
Um invasor explorou a lógica de atualização do protocolo e conseguiu emitir uma quantidade quase infinita de yETH em uma única transação, drenando o pool de forma instantânea.
Contexto do ataque e funcionamento do yETH
O yETH é um protocolo que agrega tokens de staking líquido, como stETH, em um pool diversificado. Usuários podem criar yETH ao depositar LSTs ou trocar via pool Curve yETH/ETH.
Segundo análise da D2 Finance, o atacante utilizou um flash loan para manipular a lógica de atualização do vault. Essa ação distorceu a taxa interna de câmbio, permitindo a emissão ilimitada de yETH a partir de um depósito mínimo.
Em comunicado, a Yearn Finance afirmou:
“Estamos investigando um incidente envolvendo o pool yETH LST. Os Yearn Vaults (V2 e V3) não foram afetados.”
Além disso, o ataque evidenciou vulnerabilidades na dependência de lógica dinâmica para emissão de tokens, algo destacado por especialistas do setor como ponto crítico a ser revisto.
Impactos e reações do mercado
O invasor transferiu mais de $3 milhões em ETH para o mixer Tornado Cash, em lotes de 100 ETH cada, dificultando rastreamento. Como resultado, o valor do yETH despencou para praticamente zero, gerando perdas imediatas para usuários do pool.
O incidente levanta preocupações sobre a segurança de pools de liquidez e protocolos que usam cálculos internos dinâmicos. Além disso, analistas alertam para auditorias mais rigorosas e mecanismos de proteção contra manipulações de curto prazo.
Entretanto, a Yearn Finance garante que outros produtos continuam seguros, evitando um efeito dominó. Consequentemente, os usuários das demais vaults não foram afetados.
A comunidade aguarda medidas corretivas, recuperação de fundos e atualizações na lógica do yETH. Logo, o caso reforça a importância de cautela ao investir em pools e tokens sintéticos com alta dependência de contratos inteligentes.
