Yearn Finance DeFi: פריצות DeFi חושפות פגיעות ב-yETH ושואבות 9 מיליון דולר

בתאריך 30 בנובמבר 2025 בסביבות 21:11 UTC, תוקף ניצל פגיעה בייצור מטבעות בחוזה המטבע הישן של yETH של Yearn Finance. על ידי יצירת כ-235 טריליון מטבעות yETH בהעברה אחת, הצליח התוקף להוציא כ-8 מיליון דולר מהבריכה הראשית של StableSwap וכ-0.9 מיליון דולר מהבריכה yETH-WETH ב-Curve, בסך כמעט 9 מיליון דולר בהפסדים. הכספים ששווים לכ-1,000 ETH הועברו בהמשך דרך מיקסר Tornado Cash כדי להסתיר את עקבות המסלול.

Yearn Finance אישרה מיד את האירוע והבהירה כי הפרצה פגעה רק ביישום Stable-Swap המותאם ל-yETH הישן ולא פגעה בתשתית Vault בגרסאות V2 או V3, אשר יחד מחזיקות ערך נעול כולל העולה על 600 מיליון דולר. האירוע מהווה את פריצת האבטחה האחרונה בהיסטוריית הפרוטוקול של Yearn, בעקבות פרצות קודמות בשנת 2021 ובעיות הקשורות לרב-חתימות בשנת 2023, והדגיש את האתגרים המתמשכים בהגנה על קוד ישן.

ניתוח בלוקצ'יין על ידי חברות האבטחה SEAL 911 ו-ChainSecurity הצביע על פריסת חוזים עזר זמניים שנמחקים בעצמם לאחר ביצועם, מה שמקשה על מאמצי הזיהוי והחקירה. התוקף ניצל חוזים אלה כדי להגדיל את היצע yETH ולחלץ נכסים אמיתיים מבלי להפעיל את מגבלות הייצור הרגילות. התראות בשרשרת זוהו את החריגה מייד, וקהילת ההנהגה של Yearn החלה בבירור אפשרויות פיצוי זמן קצר לאחר מכן.

לאחר הפריצה, המטבע המקומי של הפרוטוקול, YFI, חווה ירידת מחיר פתאומית של כ-5.5%, המשקפת ירידה באמון המשקיעים וצמצום זמני בתחזיות ההכנסות של הפרוטוקול. נפחי המסחר זינקו כאשר בוטי ארביטראז' וסוחרים תגובתיים ניצלו את הפרשי המחירים, מה שאיץ עוד את התנודתיות בשווקים הקשורים ל-Yearn.

בהתגובה, Yearn Finance יזמה תוכנית תיקון רב-ממדית, כולל הצעת ממשל לאשר איירדרופ Merkle בשווי 3.2 מיליון דולר ב-USDC לבעלי העניין שנפגעו, יישום תיקון בגרסה v1.1 כדי לכפות מגבלות ייצור, והטמעת כלי ניטור בזמן אמת בכל בריכות Stable-Swap. הוצע גם פרס באג בסך 500,000 דולר עבור ממצאים קשורים, במטרה לחזק את אבטחת הקוד ולשקם את אמון המשתמשים.

הפריצה שימשה כתזכורת לסיכונים הטמונים בתחזוקת חוזים ישנים ב-DeFi לצד תקני הפרוטוקול המתפתחים. האדריכלים של הפרוטוקול הדגישו תכניות להחליף רכיבים ישנים בפתרונות מבוססים על ידי הקהילה, ובו בזמן הדגישו את החוסן של תשתיות Vault המרכזיות. משקיפים ציינו כי פגיעויות ייצור אינסופיות נותרו נתיב תקיפה מרכזי בתחום הפיננסים המבוזרים, והביעו קריאה למסגרות אבטחה תקניות ולסקירה מתמדת על ידי גורמים שלישיים קבועים.

למרות הפריצה, הנזילות ב- Vaults של Yearn בגרסאות V2 ו-V3 נשארה שלמה, ללא הפרעות בהפקדות המשתמשים או בפעולות. משקעי השוק המשיכו לעקוב בקפידה אחר דיוני ההנהגה ואת ממצאי הביקורות, והעריכו את ההשלכות הארוכות הטווח על הטוקנומיקה של הפרוטוקול ועל מערכת ה-DeFi הרחבה. האירוע הדגיש את חשיבות אבטחה עירנית ותגובה מהירה לאירועים בהגנת תשתיות הפיננסים המבוזרים.