Le piratage DeFi de Yearn Finance exploite une vulnérabilité de yETH et draine 9 millions de dollars.

Le 30 novembre 2025 vers environ 21:11 UTC, un attaquant a exploité une vulnérabilité d’émission de jetons dans le contrat du jeton yETH hérité de Yearn Finance. En créant environ 235 trillions de jetons yETH dans une seule transaction, l’attaquant a pu siphonner environ 8 millions de dollars du pool stable principal et 0,9 million de dollars du pool yETH-WETH sur Curve, soit près de 9 millions de dollars de pertes. Des fonds équivalant à environ 1 000 ETH ont ensuite été acheminés via le mixeur Tornado Cash pour masquer les traces.

Yearn Finance a rapidement confirmé l’incident, précisant que l’exploitation n’a touché que l’implémentation stable-swap personnalisée du yETH hérité et n’a pas compromis l’infrastructure Vault V2 ou V3, qui, dans l’ensemble, gèrent une valeur totale verrouillée dépassant 600 millions de dollars. L’incident représentait la dernière brèche de sécurité dans l’histoire du protocole Yearn, après des exploits en 2021 et des problèmes liés à des signatures multisignature en 2023, et soulignait les défis permanents autour de la protection du code hérité.

Des analyses de la blockchain menées par les cabinets de sécurité SEAL 911 et ChainSecurity ont indiqué le déploiement de contrats auxiliaires éphémères qui se détruisaient après exécution, compliquant les enquêtes forensiques. L’attaquant a exploité ces contrats pour gonfler l’offre de yETH et extraire des actifs réels sans déclencher les garde-fous standard relatifs à l’émission. Les alertes sur la chaîne ont immédiatement signalé l’anomalie, et la communauté de gouvernance de Yearn a rapidement entamé des discussions sur les options de restitution peu après.

Suite à l’exploitation, le jeton YFI, natif du protocole, a connu une chute soudaine d’environ 5,5 %, reflétant une perte de confiance des investisseurs et une réduction temporaire des projections de revenus du protocole. Les volumes d’échanges ont bondi alors que des bots d’arbitrage et des traders réactifs capitalisaient sur les décalages de prix, accélérant davantage la volatilité sur les marchés associés à Yearn.

En réponse, Yearn Finance a lancé un plan de remédiation à plusieurs volets, notamment une proposition de gouvernance visant à autoriser un airdrop Merkle USDC de 3,2 millions de dollars USDC à destination des parties prenantes affectées, la mise en œuvre d’un patch v1.1 pour faire respecter les limites d’émission, et le déploiement d’outils de surveillance en temps réel sur l’ensemble des pools stable-swap. Un bug bounty de 500 000 dollars a également été proposé pour des découvertes pertinentes, afin de renforcer la sécurité du code et de restaurer la confiance des utilisateurs.

L’exploitation a rappelé les risques inhérents au maintien de contrats DeFi hérités parallèlement à l’évolution des standards du protocole. Les architectes du protocole ont insisté sur des plans de dépréciation des composants hérités au profit d’alternatives auditées et validées par la communauté, tout en soulignant la résilience des coffres centraux. Les observateurs ont noté que les vulnérabilités d’émission infinie restaient un vecteur d’attaque critique dans la finance décentralisée, suscitant des appels à des cadres de sécurité standardisés et à une révision continue par des tiers.

Malgré la brèche, la liquidité dans les coffres V2 et V3 de Yearn est restée intacte, sans perturbations signalées sur les dépôts des utilisateurs ou les opérations. Les participants du marché ont suivi de près les discussions de gouvernance et les résultats des audits, évaluant les implications potentielles à long terme pour la tokenomique du protocole et l’écosystème DeFi au sens large. L’incident a mis en évidence l’importance de pratiques de sécurité vigilantes et d’une réponse rapide aux incidents pour protéger l’infrastructure de la finance décentralisée.