Yearn Finance detalha ataque de vulnerabilidade yETH de 9 milhões de dólares, confirma recuperação parcial dos ativos e divulga plano de correção

ChainCatcher notícia, de acordo com The Block, HumidiFiYearn Finance publicou um relatório detalhado pós-incidente sobre o ataque de vulnerabilidade ao yETH ocorrido na semana passada, apontando que havia um erro numérico em três estágios em seu pool de liquidez stableswap legado, o que permitiu ao atacante "cunhar infinitamente" tokens LP e roubar cerca de 9 milhões de dólares em ativos desse pool de liquidez.

Yearn confirmou que, com o auxílio das equipes Plume e Dinero, conseguiu recuperar 857,49 pxETH, o que representa cerca de um quarto dos ativos roubados. A equipe planeja distribuir os fundos recuperados proporcionalmente aos depositantes do yETH.

O protocolo de finanças descentralizadas afirmou que o ataque ocorreu no bloco 23.914.086 em 30 de novembro de 2025, onde o atacante, por meio de uma sequência complexa de operações, forçou o interpretador interno do pool de liquidez a entrar em um estado divergente, desencadeando finalmente um underflow aritmético. O alvo do ataque foi um pool stableswap personalizado que agrega vários tokens de staking líquido (LSTs), bem como um pool yETH/WETH Curve.

Yearn enfatizou que seus cofres v2 e v3 e outros produtos não foram afetados. Para resolver esses problemas, a Yearn divulgou um plano de correção, incluindo a implementação de verificações explícitas de domínio no interpretador, substituição de aritmética insegura por aritmética verificada em partes críticas e a desativação da lógica de bootstrap após o lançamento do pool.