การแฮ็ก DeFi ของ Yearn Finances ใช้ช่องโหว่ของ yETH กวาดเงิน 9 ล้านดอลลาร์

เมื่อวันที่ 30 พฤศจิกายน 2025 เวลาโดยประมาณ 21:11 UTC ผู้โจมตีได้ใช้ประโยชน์จากช่องโหว่การสร้างโทเค็นในสัญญา yETH รุ่นเก่าของ Yearn Finance โดยการสร้างโทเค็น yETH ประมาณ 235 ล้านล้านตัวในธุรกรรมเดียว ผู้โจมตีสามารถขโมยเงินประมาณ 8 ล้านดอลลาร์จากสระ Stable-Swap หลัก และ 0.9 ล้านดอลลาร์จากสระ yETH-WETH บน Curve รวมเป็นการสูญเสียเกือบ 9 ล้านดอลลาร์ เงินที่เทียบเท่าเกือบ 1,000 ETH ถูกส่งไปผ่านตัวผสม Tornado Cash เพื่อพรางร่องรอย

Yearn Finance ยืนยันเหตุการณ์อย่างทันท่วงที โดยชี้ว่าเหตุการณ์นี้ส่งผลเฉพาะต่อการปรับแต่ง Stable-Swap แบบกำหนดเองสำหรับ yETH รุ่นเก่า และไม่กระทบโครงสร้าง Vault V2 หรือ V3 ซึ่งรวมกันมีมูลค่าที่ล็อกอยู่มากกว่า 600 ล้านดอลลาร์ เหตุการณ์นี้เป็นการละเมิดความปลอดภัยล่าสุดในประวัติศาสตร์โปรโตคอล Yearn ตามเหตุการณ์ที่เคยเกิดขึ้นในปี 2021 และประเด็นที่เกี่ยวกับการลงนามหลายลายเซ็นในปี 2023 และเน้นย้ำถึงความท้าทายที่ต่อเนื่องในการปกป้องโค้ดเวอร์ชันเก่า

การวิเคราะห์บล็อกเชนโดยบริษัท SEAL 911 และ ChainSecurity ระบุการใช้งานสัญญาช่วยชั่วคราวที่สร้างขึ้นเพื่อใช้งานแล้วทำลายตัวเองหลังจากดำเนินการ ซึ่งทำให้การสืบสวนทางนิติวิทยาศาสตร์เป็นเรื่องยุ่งยาก ผู้โจมตีใช้สัญญาเหล่านี้เพื่อทำให้ปริมาณ yETH เพิ่มขึ้นและขโมยทรัพย์สินจริงออกมาโดยไม่กระตุ้นมาตรการจำกัดการ mint ตามปกติ การแจ้งเตือนบนเครือข่ายได้ชี้ให้เห็นความผิดปกติทันที และชุมชนผู้มีส่วนได้ส่วนเสียด้านการกำกับดูแลของ Yearn ได้เริ่มหารือเกี่ยวกับแนวทางการชดเชยในภายหลัง

หลังเหตุการณ์ดังกล่าว โทเค็น YFI พื้นฐานของโปรโตคอลร่วงลงอย่างกะทันหันประมาณ 5.5% สะท้อนถึงความเชื่อมั่นของนักลงทุนที่ลดลงและการคาดการณ์รายได้ของโปรโตคอลที่ลดลงชั่วคราว ปริมาณการซื้อขายพุ่งสูงขึ้นเมื่อบอท arbitrage และนักเทรดที่ตอบสนองฉับพลันใช้ประโยชน์จากความผิดปกติของราคา ซึ่งทำให้ความผันผวนในตลาดที่เกี่ยวข้องกับ Yearn เพิ่มขึ้น

ในการตอบสนอง Yearn Finance เริ่มแผนการ remediation หลายด้าน รวมถึงข้อเสนอการกำกับดูแลเพื่ออนุมัติ Merkle airdrop มูลค่า 3.2 ล้าน USDC ให้แก่ผู้มีส่วนได้ส่วนเสียที่ได้รับผลกระทบ การใช้งานแพตช์เวอร์ชัน 1.1 เพื่อบังคับใช้นโยบายจำกัดการ mint และการติดตั้งเครื่องมือตรวจสอบแบบเรียลไทม์ในสระ Stable-Swap ทั้งหมด พร้อมทั้งเสนอรางวัลบั๊ก 500,000 ดอลลาร์สหรัฐสำหรับผลการค้นหาที่เกี่ยวข้อง โดยมีวัตถุประสงค์เพื่อเสริมความปลอดภัยของโค้ดและฟื้นฟูความเชื่อมั่นของผู้ใช้

การโจมตีครั้งนี้เตือนถึงความเสี่ยงที่มีอยู่ในการดูแลสัญญา DeFi รุ่นเก่าพร้อมกับมาตรฐานโปรโตคอลที่กำลังพัฒนา นักออกแบบโปรโตคอลได้เน้นแผนที่จะเลิกใช้องค์ประกอบเวอร์ชันเก่าทดแทนด้วยทางเลือกที่ได้รับการตรวจสอบแล้วโดยชุมชน และชี้ให้เห็นถึงความทนทานของ vault หลัก ผู้สังเกตการณ์ชี้ให้เห็นว่าช่องโหว่การ mint แบบไม่จำกัดยังคงเป็นช่องทางการโจมตีที่สำคัญใน DeFi ซึ่งกระตุ้นให้มีการเรียกร้องให้มีกรอบความปลอดภัยมาตรฐานและการทบทวนจากบุคคลที่สามอย่างต่อเนื่อง

แม้จะเกิดการละเมิด แต่สภาพคล่องใน vault V2 และ V3 ของ Yearn ยังคงสมบูรณ์ ไม่มีการหยุดชะงักใดๆ ในการฝากหรือการดำเนินงานของผู้ใช้งาน ผู้มีส่วนได้ส่วนเสียในตลาดติดตามการอภิปรายด้านการกำกับดูแลและผลการตรวจสอบอย่างใกล้ชิด ประเมินผลกระทบระยะยาวที่อาจมีต่อ tokenomics ของโปรโตคอลและระบบนิเวศ DeFi โดยรวม เหตุการณ์นี้ย้ำถึงความสำคัญของการปฏิบัติด้านความปลอดภัยอย่างเคร่งครัดและการตอบสนองเหตุการณ์อย่างรวดเร็วในการปกป้องโครงสร้างพื้นฐานการเงินแบบกระจายศูนย์