Yearn Finance DeFi हैक्स ने yETH vulnerability से 9 मिलियन डॉलर की निकासी कर दी

30 नवंबर 2025 को लगभग 21:11 UTC पर, एक हमलावर Yearn Finance के विरासत yETH टोकन अनुबंध में मिंटिंग कमजोरियों का दुरुपयोग किया। एक ही ट्रांज़ैक्शन में लगभग 235 ट्रिलियन yETH टोकन बनाकर, हमलावर प्राथमिक स्टेबल-स्वैप पूल से लगभग 8 मिलियन डॉलर और Curve के yETH-WETH पूल से 0.9 मिलियन डॉलर चुरा पाने में सफल रहा, जिससे कुल नुकसान लगभग 9 मिलियन डॉलर हुआ। लगभग 1,000 ETH के बराबर फंड्स बाद में Tornado Cash मिक्सर के जरिए रास्ता छिपाने के लिए भेजे गए।

Yearn Finance ने घटना की पुष्टि तुरंत की, स्पष्ट करते हुए कि यह शोषण केवल विरासत yETH के लिए कस्टम स्टेबल-स्वैप कार्यान्वयन को प्रभावित करता है और V2 या V3 Vault इन्फ्रास्ट्रक्चर को नुकसान नहीं पहुंचा, जो संयुक्त रूप से कुल मूल्य लॉक $600 मिलियन से अधिक बनाए रखते हैं। यह घटना Yearn के प्रोटोकॉल इतिहास में नवीनतम सुरक्षा भंग थी, जो 2021 में हुए पूर्व शोषणों और 2023 में मल्टीसाइनचर-सम्बन्धी समस्याओं के बाद आई, और विरासत कोड की सुरक्षा बनाए रखने से जुड़ी निरंतर चुनौतियों को रेखांकित करती है।

SEAL 911 और ChainSecurity जैसी सुरक्षा कंपनियों द्वारा किए गए ब्लॉकचेन विश्लेषण ने अस्थायी सहायक कॉन्ट्रैक्ट्स के डिप्लॉयमेंट का संकेत दिया है, जो क्रियान्वयन के बाद आत्म-विनष्ट हो जाते थे, जिससे फोरेंसिक प्रयास कठिन हो जाते थे। हमलावर ने इन कॉन्ट्रैक्ट्स का उपयोग yETH आपूर्ति बढ़ाने और वास्तविक परिसंपत्तियाँ निकालने के लिए किया, बिना मानक मिंट-सीमाओं के सुरक्षा उपायों को ट्रिगर किए। ऑन-चेन अलर्ट्स ने तुरंत असंगतता को चिह्नित किया, और Yearn की गवर्नेंस समुदाय ने restitution विकल्पों पर चर्चा शुरू कर दी।

शोषण के बाद, प्रोटोकॉल के स्वदेशी YFI टोकन में लगभग 5.5% की अचानक मूल्य गिरावट आई, जो निवेशक के विश्वास में कमी और प्रोटोकॉल राजस्व भविष्यवाणियों में अस्थायी कमी को दर्शाती है। कीमतों में असमानताओं का फायदा उठाने वाले आर्बिट्रेज बॉट्स और प्रतिक्रियाशील ट्रेडर्स के कारण ट्रेडिंग वॉल्यूम में उछाल आया, जिससे Yearn से जुड़ी बाज़ारों में अनिश्चितता और अधिक तेज़ हो गई।

जवाब में Yearn Finance ने बहु-स्तरीय सुधार योजना शुरू की, जिसमें प्रभावित हितधारकों को $3.2 मिलियन USDC Merkle airdrop को अधिकृत करने के लिए एक गवर्नेंस प्रस्ताव, मिंटिंग सीमाओं को लागू करने के लिए v1.1 पैच का कार्यान्वयन, और सभी स्टेबल-स्वैप पूलों पर रियल-टाइम मॉनिटरिंग टूल्स की तैनाती शामिल थी। संबंधित निष्कर्षों के लिए $500,000 बग बाउंटी भी प्रस्तावित की गई, जिसका उद्देश्य कोड सुरक्षा को मजबूत करना और उपयोगकर्ता विश्वास बहाल करना था।

यह शोषण विरासत DeFi अनुबंधों को विकसित हो रहे प्रोटोकॉल मानकों के साथ बनाए रखने में निहित जोखिमों की याद दिलाने वाला रहा। प्रोटोकॉल आर्किटेक्ट्स ने ऑडिटेड, समुदाय-स्वामित्व वाले विकल्पों की ओर विरासत घटकों को समाप्त करने की योजनाओं पर बल दिया, जबकि मुख्य Vaults की लचीलापन को भी उजागर किया। पर्यवेक्षकों ने नोट किया कि अनंत-मिंट कमजोरियाँ विकेंद्रीकृत वित्त में एक प्रमुख आक्रमण-वेक्त थीं, जिससे मानकीकृत सुरक्षा ढांचे और सतत तीसरे पक्ष की समीक्षा के लिए आह्वान किया गया।

घटना के बावजूद Yearn के V2 और V3 Vaults में तरलता बनी रही, और उपयोगकर्ता जमा या संचालन में कोई व्यवधान दर्ज नहीं किया गया। बाज़ार भागीदारों ने गवर्नेंस चर्चाओं और ऑडिट निष्कर्षों पर करीबी नजर रखी, प्रोटोकॉल टोकנומिक्स और व्यापक DeFi इकोसिस्टम पर संभावित दीर्घकालिक प्रभावों का आकलन किया। इस घटना ने सतर्क सुरक्षा प्रथाओं और विकेंद्रीकृत वित्त इंफ्रास्ट्रक्चर के लिए त्वरित घटना-प्रतिक्रिया के महत्व को रेखांकित किया।