慢霧：yearn 遭遇攻擊的根本原因是 Yearn yETH 池合約存在不安全的數學運算

ChainCatcher 消息，據 SlowMist 監測，去中心化金融協議 yearn 遭遇黑客攻擊，造成約 900 萬美元損失。慢霧安全團隊對該事件進行了分析，確認根本原因如下：漏洞源于 Yearn yETH 加權穩定幣交換池（Weighted Stableswap Pool）合約中用于計算供應量的 _calc_supply 函數邏輯。由于存在不安全的數學運算，該函數在計算過程中允許溢出和舍入誤差，導致新供應量與虛擬余額的乘積計算出現顯著偏差。攻擊者利用此缺陷可將流動性操控至特定數值，并超額鑄造流動性池（LP）代幣，從而非法獲利。建議加強邊界場景測試，并采用經過安全驗證的算術運算機制，以防范同類協議中此類溢出等高危漏洞。此前消息，Yearn 發布聲明稱，其 yETH 穩定池于 11 月 30 日 21:11 UTC 遭遇攻擊，攻擊者通過自定義合約大量鑄造 yETH，導致池內約 800 萬美元資產受損，另有約 90 萬美元損失來自 Curve 上的 yETH-WETH 池。

• 喜歡使用社交軟體關注？關注我們的 Twitter，或者加入 Telegram！
• 想關注最新資訊？ 下載CoinCarp App吧
• 有新聞需要爆料，官方公告需要發布? 來給我們發郵件吧！[email protected]