Yearn's yETH-безпекова злам: як крадіжка на мільйони коригує практики DeFi

Історія інциденту: ринковий шок і системне тестування

Наприкінці листопада 2025 року Yearn Finance зіткнулася з суттєвою вразливістю безпеки, яка відкрила тендітний баланс між інноваціями та стійкістю протоколу. Експлойт з безкінечним створенням монет на контракт yETH спричинив приблизні втрати капіталу на суму $2,8 мільйона — відносно невелика сума в абсолютних цифрах, але значуща з огляду на те, що вона розкриває ризики композиційності в DeFi.

Ринкова реакція була надмірною. Курс YFI підскочив з приблизно $4 080 до понад $4 160 за годину, викликаний шорт-сквізом. Ця волатильність підкреслила, наскільки учасники ринку часто недооцінюють уразливості у спадкоємних контрактах, сприймаючи їх як системні загрози. З урахуванням обігу близько 33 984 токенів YFI, ліквідність токена є вразливою до концентрованого торгового тиску.

Анатомія атаки: як з’явилися 235 трильйонів yETH з ніде

30 листопада 2025 року о 21:11 UTC зловмисник активував критичну помилку у механізмі створення токенів контракту yETH. В одній транзакції експлойт, за оцінками, створив 235 трильйонів yETH.

Стратегія атаки була елегантною у своїй простоті:

• Фаза 1 — Масове створення: вразливість безкінечного створення токенів дозволила генерувати необмежену кількість без перевірки
• Фаза 2 — Виведення ліквідності: створені yETH використовувалися для siphoning реальної цінності з пулів ліквідності Balancer, де yETH був прив’язаний до реального ETH та токенів Liquid Staking
• Фаза 3 — Видалення слідів: зловмисник використовував допоміжні контракти та виклики self-destruct для фрагментації транзакційних ланцюгів, а також маршрутизував близько 1 000 ETH через міксингові сервіси

Команди on-chain форензики ідентифікували помилку саме у контракті yETH, а не у основній інфраструктурі сейфу Yearn — різниця, яка згодом стала ключовою для обмеження ризиків.

Чому саме yETH постраждав: спадкоємні контракти у сучасному DeFi

Експлойт був обмежений старішою реалізацією yETH. Yearn підтвердив, що вразливість не торкнулася vaults V2 і V3 — важливий факт, що має заспокоїти початкову паніку.

Проте цей сценарій ілюструє широку проблему у архітектурі DeFi. Еволюція протоколів часто призводить до накладання кількох версій контрактів; старіші версії отримують менше аудитів і залишаються активними через зацікавлених користувачів або постачальників ліквідності. Це створює так званий «спадковий хвіст» — шари коду, що застарівають у виробничих середовищах.

Технічна критична помилка: механізм створення yETH дозволяв необмежене створення токенів без належного контролю доступу. Як це пройшло аудит, і чому старі версії мали менш надійні перевірки — залишається предметом аналізу після події.

Ринкова реакція і що вона розкриває

Ринки деривативів миттєво відреагували підвищенням ставок фінансування та розширенням волатильності. Для багатьох трейдерів різниця між «експлойтом yETH» і «збоєм системи Yearn» була непомітною.

Цей феномен має глибший урок: ізоляція збитків у блокчейні не автоматично сприймається ринком. Страх «наскільки далеко це може зайти?» може стримувати раціональну оцінку масштабу. Шорт-позиції YFI, які були примусово ліквідовані, додатково підживлювали короткостроковий ціновий імпульс.

Звернення до даних: YFI наразі торгується близько $3.51K, що відображає зміни з моменту інциденту і свідчить про нормалізацію ринку.

Реакція Yearn: комунікація і форензика

Yearn діяла досить швидко. Протокол:

• публічно підтвердив обмежений масштаб вразливості
• координував з командами on-chain досліджень для виявлення векторів атаки
• розпочав діалоги з управлінням щодо потенційної компенсації і майбутньої стійкості (хоча технічна і юридична здійсненність ще під питанням)
• сприяв пошуку викрадених активів і досліджував можливості їх повернення через багатосторонні зусилля

Швидкість виявлення і комунікації стала контрастом до попередніх зломів у DeFi, де інформаційні затримки могли тривати тижнями. Це також свідчить про професіоналізацію сектору.

Практичні кроки для користувачів і LP

Для тих, хто має експозицію до продуктів Yearn, деривативів LST або пулів Balancer:

Аудит ризиків: перевірте, які vaults або пули ліквідності ви обслуговуєте, і переконайтеся, що вони використовують безпечну версію yETH. Позиції V2 і V3 менш нагальні.

Ребалансування: виведіть з пулів, де yETH є ключовим активом, частину ліквідності. Це зменшить ризики у разі подальшої нестабільності ринку.

On-chain сигнали: слідкуйте за офіційними оновленнями безпеки проектів, а не за чутками у соцмережах. Панічні продажі через хибні сигнали можуть завдати більшої шкоди, ніж сам злом.

Ширші уроки: DeFi 2025 і поза ним

Цей інцидент відображає ширший патерн у розвитку DeFi:

Складність композиційності як двосічний меч: інтеграція між кількома протоколами додає цінність, але збільшує поверхню для атак. Механізми mint/burn, що працюють на кількох рівнях, потребують підвищеної уваги.

LST як точки левериджу: токени Liquid Staking глибше інтегровані у портфелі та пули ліквідності у 2025 році. Їх зростаюча роль означає, що помилки в одній екосистемі можуть мати ширші наслідки.

Шум сигналів проти фундаментів: моніторинг у реальному часі став більш точним, але швидка інтерпретація сигналів — з багатьма хибними спрацьовуваннями — іноді створює більший ризик, ніж технічні інциденти.

Механізми страхування і управління: протокольні команди все частіше впроваджують on-chain резерви, мульти-сигові сховища і проактивні реакції управління. Це стає нормою.

Регулювання як дисципліна: у 2025 році регулятори вимагають процедурної безпеки і відповідальності протоколів, що впливає на те, як команди реагують на інциденти і організовують компенсації.

Рекомендації для архітекторів протоколів

• Регулярні, глибокі аудити з фокусом на механізми mint/burn і крайні випадки, особливо для старих контрактів
• Привабливі програми bug bounty для залучення дослідників до раннього виявлення критичних помилок
• Розділення контрактів: маршрути міграції для ризикованого спадкового коду у більш нові, перевірені версії
• Чіткі протоколи реагування на інциденти: стандартизована комунікація, координація форензики і управління

Висновок: інновації під наглядом

Експлойт з безкінечним створенням yETH — не масштабний злом, але його уроки мають велике значення. Інноваційний потенціал DeFi ускладнюється композиційністю, але також і піддається ризикам через спадкові контракти. Для інвесторів і протоколів 2025 рік — це рік підвищеної обізнаності про ризики: аудит, стратегії відновлення і раціональна інтерпретація on-chain вже не є опціонами.

Ринки реагують безпосередньо на вразливості. Ця реакція може бути і можливістю, і загрозою — для тих, хто вміло розрізняє сигнали від фундаментальної реальності.