Yearn再曝安全事件： yETH遭无限铸币攻击

摘要

12月01日,DeFi 协议 Yearn Finance 再次卷入安全风波。攻击者利用 yETH 旧版合约的铸币逻辑漏洞，累计造成约 900 万美元损失，其中约 1000 ETH（约 300 万美元）已被分批送入 Tornado Cash 进行洗钱。

黑客地址 ：0x3e8e7533dcf69c698cf806c3db22f7f10b9b0b97

该地址在 Etherscan 上已被标记为 “Yearn Exploiter”，当前余额约 30 ETH，地址下还残留少量 yETH、stETH 等资产。内部交易记录里，可以看到这次事件中最关键的一笔 tx：从多个合约收集资产后，连续向 Tornado.Cash 存入 100 ETH × 10，共 1000 ETH。

一、事件关键点

攻击目标：Yearn 旧版 yETH 代币 / LST 池，而V2、V3 Vault 等核心产品未受影响。

漏洞类型：yETH 旧合约的 铸币逻辑存在无限铸币（infinite mint）类漏洞，允许攻击者在单笔交易中铸造约 235 万亿枚 yETH。

直接损失：总损失约 900 万美元，其中主损失来自 yETH LST Balancer 池和相关池子。

洗钱路径：攻击者将筹集到的资产集中换成约 1000 枚 ETH，并通过 Tornado Cash 分批（多笔 100 ETH）打散转移。

响应动作：Yearn 官方确认问题仅限 yETH 旧合约，正在与安全团队协作调查与复盘。

对普通用户来说，一个 简单结论 是：

这次中招的是“”旧产品 + 老池子”，Yearn 当前主推的 Vault 体系没有直接受损，但整个 DeFi 对“遗留合约”的重视程度，恐怕得被迫提高一档。

二、攻击过程简要复盘

1、准备阶段：部署辅助合约

攻击发生前数分钟，攻击者地址先行部署了数个辅助合约（helper contracts），这些合约用于：

• 调用 yETH 旧合约的特定函数路径；

• 组合完成铸币、兑换、迁移资产等一系列操作；

• 在攻击完成后自毁（self-destruct），以降低后续链上溯源难度。

2、利用阶段：单笔交易铸出 235 万亿 yETH

核心问题出在 yETH 旧合约的铸币计算逻辑上。

攻击者通过构造特定调用路径，让合约“误以为”可以合法铸造极大数量的 yETH，从而在一笔交易中直接造出约 235,000,000,000,000 枚 yETH——远超正常业务场景所需，也明显背离设计初衷。

这一类漏洞，本质上是供应约束失效：

① 没有对铸币上限、抵押约束等进行严格检查；
② 或在复杂的比例计算 / 汇率换算中存在边界条件缺陷；
③ 在少见的路径组合下，触发了“无限铸币”效果。

3、变现阶段：抽干 Balancer 池并换成 ETH

核心攻击 & 洗钱交易哈希：

0x53fe7ef190c34d810c50fb66f0fc65a1ceedc10309cf4b4013d64042a0331156

这笔交易里可以看到几个关键动作（在 Etherscan 的 internal tx 里非常直观）：

• 从 Balancer 等相关合约处，转入大量 ETH / LST（例如 Dinero: Pirex ETH 等）。

• 将部分资产集中转换为 ETH。

• 同一笔交易内，连续多次调用 Tornado.Cash 100 ETH 池：每次 Deposit 100 ETH，共 10 次；总计 1000 ETH 被打入 Tornado.Cash 对应的 100 ETH 池（Etherscan 标签中显示为 Tornado.Cash: 100 ETH）。

也就是说：一次交易完成了抽干池子 + 汇总资产 + 10 次 100 ETH 洗钱入 Tornado 的完整闭环。

三、资金流向

在完成资产转换后，攻击者迅速进入「洗钱阶段」。公开监测显示：

• 被盗资产中约 1000 ETH 被集中转入攻击者控制的地址；

• 随后，攻击者拆分为多笔 100 ETH 左右的小额交易；

• 接连打入 Tornado Cash，通过混币服务打散资金轨迹；

• 截至目前，部分资金已完成洗出，剩余资产仍在攻击者控制地址或未完全清洗的路径中。

这套路径本身并不新鲜，却依然高效：

老问题 + 旧工具 + 熟练手法 ，依然足以绕开大部分非专业用户与机构的追踪视野。

四、对 Yearn 的影响

Yearn 过去几年并非“零事故”协议。公开资料显示：

• 2021 年，Yearn 曾因 yDAI 相关策略问题损失约 1100 万美元；

• 2023 年末，一次脚本错误导致国库仓位 63% 损失（但未波及用户资金）；

• 本次则是旧版 yETH 合约在 2025 年再次成为突破口。

不过，从 TVL 与市场反应来看，本次事件的影响仍然可控：

• Yearn 总锁仓量（TVL）依然维持在约 6 亿美元上方，说明核心资金并未大规模撤离；

• 代币价格在事件后出现短线波动，价格一度先跌后因空头回补出现短暂上冲，整体跌幅有限。

DeFi 协议会升级、会迁移、会换架构，但老合约、老池子、老资产，往往被 留在一个“没人主动看，但又还有钱”的角落里 。

五、Aegixe 安全观察

结合本次事件与 2025 年以来的多起 DeFi 攻击，我们认为：

• 遗留合约 = DeFi 世界的“幽灵资产”

• “只审新版本”不够，必须做“生命周期安全管理”

• 混币器 + 辅助合约自毁，将成为长期存在的洗钱套路

文章来源 ：https://mp.weixin.qq.com/s/fxuNXFohDN8M8Yr2xPDMBQ