O roubo de 9 milhões de dólares em yETH da Yearn Finance: o mais novo thriller do DeFi

Yearn Finance, esse veterano feroz da selva DeFi, acabou de ser atingido novamente.

A vítima? yETH, um produto sofisticado da Yearn que envolve vários Ethereum em staking em um pacote prático.

Imagine uma cesta de frutas cósmica sendo de repente saqueada por um bandido sombrio do mundo cripto.

1.000 ETH enviados para Tornado Cash

O roubo? Cerca de US$ 9 milhões desapareceram do pool yETH stableswap e de seu parceiro menor, o pool yETH-WETH na Curve.

O hacker agiu como um profissional, explorando uma combinação enigmática de um chamado “bug numérico de baixo nível” e um “problema de gerenciamento de invariantes de alto nível” (sim, isso é jargão real de especialista em cripto para “nós ferramos tudo”).

Em um domingo que provavelmente deveria ter sido tranquilo, alguém cunhou infinitos tokens yETH, trocou-os por ETH real e tokens de staking, depois fugiu com o prêmio em dinheiro e cerca de 1.000 ETH enviados para Tornado Cash, a versão DeFi de uma bomba de fumaça.

Às 21:11 UTC de 30 de novembro, ocorreu um incidente envolvendo o pool yETH stableswap que resultou na cunhagem de uma grande quantidade de yETH. O contrato afetado é uma versão personalizada do código popular de stableswap, sem relação com outros produtos Yearn. Os cofres Yearn V2/V3 não estão em risco.

— yearn (@yearnfi) 1 de dezembro de 2025

Smart contracts que se autodestroem

A resposta da Yearn foi rápida e um tanto heroica. Em parceria com Plume e Dinero, conseguiram recuperar 857,49 pxETH, cerca de US$ 2,4 milhões, resgatando parte do saque do abismo.

O processo foi delicado, descrito no comunicado noturno da Yearn como de “alta complexidade”, rivalizando com a ousadia infame do recente ataque ao Balancer.

Como o vilão conseguiu realizar esse feito? O truque envolveu um tipo engenhoso de smart contracts que se autodestroem após realizarem seu trabalho sujo, apagando qualquer vestígio de seu bytecode, mas deixando rastros na blockchain para os analistas atentos.

Esses contratos cunharam tokens yETH falsos, drenaram pools e depois desapareceram como navios fantasmas na noite digital.

Mesmo protocolos veteranos com bilhões não são invencíveis

O comunicado oficial da Yearn? O problema está isolado, apenas o código personalizado do yETH foi afetado.

No momento da redação, os cofres Yearn ainda detêm US$ 570 milhões, intocados por esse incidente em particular. Mas é justo dizer que essa não é a primeira vez da Yearn.

Desde 2021, eles já se envolveram em explorações, incluindo uma perda de US$ 11 milhões no hack do cofre yDAI e um ataque a um contrato yUSDT antigo em 2023.

Como um cowboy calejado, a Yearn continua sendo alvejada, mas se recusa a sair de cena.

Para os entusiastas de DeFi, esse episódio soa um grande alarme: mesmo protocolos veteranos com bilhões não são invencíveis.

A exploração do yETH mistura peculiaridades de smart contracts e hackers habilidosos, ilustrando o delicado equilíbrio que é a segurança das finanças descentralizadas.