Yearn memulihkan aset curian senilai $2,4 juta akibat bug 'aritmatika tidak terkontrol'

Tim Yearn Finance telah berhasil memulihkan sekitar $2,4 juta aset yang dicuri dari eksploitasi terbaru pada protokol DeFi lama tersebut, sementara total kerugian yang diperkirakan mendekati $9 juta, menurut pembaruan pada hari Senin. Misi pemulihan yang terkoordinasi saat ini “aktif dan sedang berlangsung,” menurut sebuah postingan di X.

Pada hari Minggu, sebuah kerentanan pada protokol yield-farming yang pernah populer dieksploitasi untuk menguras aset dari pool stableswap Yearn Ether (yETH) dan pool yETH‑WETH yang lebih kecil di Curve. Serangan ini, yang merupakan serangan ketiga yang menargetkan Yearn sejak 2021, memiliki “kompleksitas tinggi yang serupa” dengan peretasan Balancer baru-baru ini, menurut Yearn. 

Menurut laporan post-mortem yang dipublikasikan pada hari Senin, “penyebab utama” berasal dari bug “aritmatika yang tidak diperiksa” dan masalah desain lain yang berkontribusi, yang memungkinkan penyerang mencetak 2,3544x10^56 token yETH — jumlah yang hampir tak terbatas — yang digunakan untuk menguras likuiditas dari protokol. 

“Transaksi eksploitasi sebenarnya mengikuti pola ini: pencetakan besar-besaran diikuti oleh serangkaian penarikan yang memindahkan aset nyata ke penyerang, sementara suplai token yETH pada dasarnya tidak berarti,” menurut laporan post-mortem tersebut. 

Yearn mencatat bahwa serangan ini bersifat terarah dan seharusnya tidak berdampak pada vault V2 atau V3 mereka. “Setiap aset yang berhasil dipulihkan akan dikembalikan kepada deposan yang terdampak,” tambah tim tersebut. 

Seperti yang sebelumnya dilaporkan oleh The Block , penyerang berhasil memindahkan setidaknya 1.000 ETH dan beberapa token liquid staking ke Tornado Cash anonymizer. Yearn, bersama dengan perusahaan keamanan kripto SEAL 911 dan ChainSecurity, bekerja sama dengan jaringan Plume untuk memulihkan 857,49 pxETH hingga saat berita ini ditulis. 

BlockScout mengatakan bahwa peretas menggunakan “helper contracts” yang dapat menghancurkan diri sendiri sebagai bagian dari serangan. Kode ini adalah smart contract tambahan khusus yang digunakan untuk melakukan tugas otomatis, dan sering disalahgunakan selama serangan flash loan yang memerlukan beberapa langkah dalam satu transaksi. 

Penyerang, misalnya, menggunakan helper contract untuk memanipulasi fungsi yETH yang rentan, mencetak jumlah token yang sangat besar, dan menguras protokol, sebelum akhirnya menghancurkan dirinya sendiri. “Self-destruct menghapus bytecode, membuat kontrak tidak dapat dibaca setelahnya, tetapi transaksi pembuatan dan log tetap tersimpan,” kata Blockscout.

"Analisis awal menunjukkan bahwa peretasan ini memiliki tingkat kompleksitas tinggi yang serupa dengan peretasan Balancer baru-baru ini, jadi mohon bersabar saat kami melakukan analisis post-mortem," kata Yearn pada hari Minggu. "Tidak ada produk Yearn lain yang menggunakan kode serupa dengan yang terdampak."