Yearn Finance Recupera 857 pxETH de $9 Milhão de Exploração yETH, Apresenta Estratégia Abrangente de Recuperação de Ativos e Melhoria de Segurança

A Yearn Finance publicou uma análise técnica aprofundada da vulnerabilidade do yETH que resultou em aproximadamente $9 milhões em ativos roubados, revelando que os esforços de recuperação já estão em andamento. Com o apoio dos serviços de recuperação de ativos fornecidos pelas equipas Plume e Dinero, o protocolo conseguiu recuperar 857,49 pxETH, representando cerca de um quarto dos fundos comprometidos. Estes ativos recuperados serão devolvidos proporcionalmente aos depositantes afetados de yETH.

O Mecanismo de Vulnerabilidade: Uma Falha Aritmética de Múltiplas Camadas

O exploit, que ocorreu no bloco 23.914.086 a 30 de novembro de 2025, explorou uma falha aritmética de múltiplas camadas incorporada na pool de liquidez legacy stableswap do Yearn. O ataque centrou-se numa vulnerabilidade sofisticada dentro do parser interno da pool, que agrega múltiplos tokens de staking líquido (LSTs). Ao executar uma cadeia complexa de operações, o atacante forçou o parser a entrar num estado de contabilidade inconsistente, desencadeando, por fim, um underflow aritmético que permitiu a geração ilimitada de tokens LP. Esta mesma vulnerabilidade estendeu-se às interações com a pool Curve yETH/WETH, amplificando o impacto do ataque.

Impacto Imediato na Recuperação de Ativos

Os serviços de recuperação de ativos implementados pelas equipas Plume e Dinero provaram-se essenciais na mitigação dos danos. A recuperação bem-sucedida de 857,49 pxETH demonstra a eficácia dos esforços coordenados em incidentes de segurança em DeFi. O compromisso do Yearn com a distribuição proporcional dos fundos garante que os depositantes receberão compensação com base na sua exposição à pool comprometida.

Alcance do Impacto e Sistemas Não Afetados

De forma crítica, o Yearn confirmou que as suas vaults v2 e v3, juntamente com outros produtos principais, permaneceram seguros e não foram afetados pelo exploit. A vulnerabilidade foi isolada à pool de stableswap personalizada, evitando um colapso sistêmico em todo o ecossistema do protocolo.

Plano de Remediação e Fortalecimento de Segurança

Para evitar incidentes semelhantes, o Yearn implementou uma estratégia de remediação abrangente. As principais medidas incluem:

• Validação do Parser: Implementação de verificações explícitas de domínio dentro do parser interno da pool para evitar estados inconsistentes
• Segurança Aritmética: Substituição de operações aritméticas inseguras por operações verificadas em todas as secções críticas
• Desativação do Bootstrap: Desativação da lógica de bootstrap após a inicialização da pool para eliminar janelas de vulnerabilidade pós-lançamento

Estas atualizações representam uma mudança fundamental em direção a uma arquitetura de defesa em profundidade, garantindo que futuras versões das pools de liquidez do Yearn incorporem salvaguardas de múltiplas camadas contra manipulação aritmética e exploits de parsing.