Kolam yETH Yearn Finance Dieksploitasi: $3 Juta dalam ETH Diclearkan Melalui Tornado Cash

Protokol yield-farming Yearn Finance mengonfirmasi adanya eksploitasi pada produk yETH pada 30 November 2025, di mana seorang penyerang mencetak pasokan yETH token yang tidak terbatas dan menguras sekitar $3 juta dalam aset dari pool likuiditas yang terhubung. Dana yang dicuri, yang bernilai sekitar 1.000 ETH, kemudian dicuci melalui mixer privasi Tornado Cash, menurut analisis on-chain.

Rincian Insiden

Serangan tersebut menargetkan implementasi lama dari pool stableswap yETH di Balancer, memungkinkan penyerang untuk menghasilkan jumlah yETH token yang hampir tidak terbatas dalam satu transaksi. Ini memungkinkan penyerang untuk menarik aset nyata, termasuk ETH dan derivatif staking likuid yang populer, meninggalkan sekitar $2,8 juta lubang di pool. Yearn Finance melaporkan insiden tersebut di X, menyatakan: “Kami sedang menyelidiki insiden yang melibatkan pool stableswap yETH LST. Yearn Vaults ( baik V2 maupun V3) tidak terpengaruh.”

Eksplorator blockchain menunjukkan bahwa eksploitasi melibatkan kontrak pintar yang baru dideploy yang menghancurkan diri sendiri setelah dieksekusi, mengaburkan jejak. Penyerang kemudian memecah 1.000 ETH menjadi batch yang lebih kecil dan mengalirkannya melalui Tornado Cash, sebuah protokol yang disanksi yang dikenal untuk mengaburkan riwayat transaksi.

Respon dan Lingkup Yearn

Yearn menekankan bahwa kerentanan tersebut terisolasi pada kontrak yETH eksperimental dan tidak berdampak pada Vault V2 atau V3 inti, yang mengelola lebih dari $500 juta dalam aset. Protokol ini mempertahankan program bug bounty langsung dengan hadiah hingga $200,000 untuk penemuan kritis, meskipun tidak ada jalur pemulihan segera yang diumumkan. Laporan rinci akan segera hadir saat tim melanjutkan investigasinya.

Perusahaan keamanan yang melacak acara tersebut, termasuk auditor yang meninjau produk warisan Yearn, mengaitkan pelanggaran itu dengan kelemahan cetak yang sudah lama ada dalam logika token yETH daripada kesalahan dalam arsitektur brankas saat ini.

Konteks yang Lebih Luas dalam Keamanan DeFi

Eksploitasi ini adalah bagian dari bulan yang menantang bagi DeFi, di mana sektor ini kehilangan sekitar $127 juta akibat peretasan, penipuan, dan kerentanan pada November 2025, menurut data CertiK. Ini menyoroti risiko yang terus ada dalam implementasi kontrak pintar yang lebih tua, bahkan untuk protokol yang mapan seperti Yearn, dan pentingnya menghapus kode lama.

Komunikasi transparan Yearn dan isolasi masalah tersebut telah dipuji oleh komunitas, mencegah bencana berskala lebih besar. Insiden ini menjadi pengingat bagi pengguna untuk memantau pembaruan protokol dan menghindari produk eksperimental dengan kerentanan yang belum diperbaiki.

Singkatnya, eksploitasi Yearn yETH menguras $3 juta dalam aset, dengan penyerang mencetak token tanpa batas dan mencuci dana melalui Tornado Cash. Yearn mengonfirmasi bahwa masalah ini terbatas pada kontrak yang lebih lama, tanpa dampak pada vault inti, dan sedang menyelidiki lebih lanjut sambil mempertahankan program hadiah bugnya.