Yearn Financeが再び攻撃を受け、yETHプールは300万ドルを失い、ETHはTornado Cashに振り込まれました

DeFi 知名收益プロトコル Yearn Finance 旗下 yETH 流動性ステークトークンプールが攻撃を受け、攻撃者は無限に yETH を増発することで資金プールを空にし、約 300 万ドルの ETH を獲得して混合器 Tornado Cash に転送しました。今回の事件により yETH プールは大きな損失を被り、このプールは攻撃前に約 1100 万ドルの価値がありました。Yearn 公式はこの件を調査中であることを確認し、Yearn Vaults は影響を受けていないと強調しています。これは Yearn が 2021 年の yDAI 脆弱性事件以来、再び安全危機に直面したことになります。

攻撃イベントの全体像を分析

ブロックチェーンデータによると、12月14日にYearn FinanceのyETH流動性ステーキングトークンプールが巧妙に計画された攻撃を受け、攻撃者は契約の脆弱性を利用してほぼ無限のyETHの増発を実現し、単一の取引で資金プール全体を空にしました。yETHは、さまざまな人気のある流動性ステーキングトークンを集約したインデックス型トークンとして設計されており、ユーザーにワンストップのイーサリアムステーキング収益ソリューションを提供することを目的としていますが、今回の脆弱性はこの製品の核心的なメカニズムに直接的な脅威を与えています。

攻撃中、攻撃者は複数の新しいスマートコントラクトを展開して攻撃プロセスを実行し、一部のコントラクトは取引が完了した後に即座に自壊しました。このような操作手法は明らかに攻撃の痕跡を隠し、追跡の難易度を増すことを目的としています。最終的に、攻撃者は1000枚のETH（当時の価格で約300万ドルに相当）をミキシングプロトコルTornado Cashに転送し、この行為は資金の流れの追跡可能性をさらに断ち切りました。

今回の攻撃は、XプラットフォームのユーザーTogbeによって最初に発見されました。彼は大口送金を監視している際に異常な活動に気付きました。Togbeはメディアに対して「ネット送金データは、yETHのスーパー発行機能が攻撃者に資金プールを空にさせ、約1000枚のETHを得たことを示しています。攻撃の過程で一部のETHは失われましたが、攻撃者は依然として利益を上げました。」と述べました。この発見は、コミュニティにこのセキュリティ事件に注目するよう迅速に警告しました。

攻撃の重要な時間ポイント

• エクスプロイト:攻撃者は、不正なスーパーミント機能を通じて無制限の追加yETHを発行する可能性があります
• 引き出し:1回の取引でyETHプールが枯渇し、約1,100万ドル相当
• 資金移動:Tornado Cashへの1,000ETH(約300万ドル) *トレースの隠蔽:一部の攻撃契約は自己破壊するため、調査がより困難になります

技術的脆弱性メカニズムの深い分析

技術的な観点から分析すると、今回の攻撃の核心的な脆弱性は yETH コントラクトのミント権限管理の欠陥にあります。攻撃者は、通常のミント制限を回避する方法を見つけ出し、いわゆる「スーパー ミント」機能を引き起こしました。このメカニズムは厳格な条件下でのみ有効にされるべきものでしたが、未承認者によって意図せずアクセスされてしまいました。流動性ステーキングトークン指数自体は複雑なトークン経済学設計に関わっており、権限の脆弱性は壊滅的な結果を引き起こす可能性があります。

攻撃者が採用した新しいデプロイ契約と自己破壊モードは、プロのハッカーの典型的な操作特徴を示しています。一回限りの契約を使用することで、攻撃者は攻撃ロジックを効果的に隠すだけでなく、事後の証拠収集の難易度を大幅に引き上げました。ブロックチェーンセキュリティの専門家は、この手法は攻撃者がYearnの契約構造を深く理解している必要があり、内部コードの漏洩または長期的な潜伏研究の結果である可能性があると指摘しています。

注目すべきは、yETHが複数の流動性ステーキングトークンのアグリゲーターとして、その価格の安定性が基礎資産の適切なアンカーに依存している点です。攻撃者がyETHを無限に増発すると、プール内の資産は大量に他の高流動性トークンに交換され、最終的にETHに変換されて引き出されます。この攻撃経路は、指数トークンの設計における単一障害点のリスクを露呈しており、コアの発行機能が一度破られると、全体の経済モデルが迅速に崩壊することになります。

憧れのセキュリティ履歴と緊急対応

Yearn Financeは、事件発生後迅速にXプラットフォームを通じて公式声明を発表しました：「私たちは、yETH LST安定交換プールに関する事件を調査しています。Yearn Vaults（V2およびV3バージョンを含む）は影響を受けていません。」この迅速な対応はコミュニティの感情を安定させるのに役立ちますが、資金の損失を直ちに取り戻すことはできません。チームは現在、契約コードの全面的なレビューを行い、脆弱性の根本原因を評価しています。

Yearnの安全な歴史を振り返ると、このプロトコルが重大な脆弱性に直面したのはこれが初めてではありません。2021年、YearnのyDAI金庫が攻撃され、1100万ドルの価値が失われ、攻撃者は最終的に280万ドルの利益を得ました。そして2023年12月、Yearnはスクリプトのエラーにより国庫のあるポジションで63%の損失を被ったが、幸運なことにその時はユーザー資金に影響はありませんでした。これらの連続的なセキュリティ事件は、Yearnのコード品質に対する疑問を引き起こしました。

さらに注目すべきは、Yearn の創設者 Andre Cronje がプロジェクト開始から2年後にチームを離れたことで、その不在がプロトコルの安全な開発ロードマップに影響を与えたかどうかがコミュニティの議論の焦点となっていることです。Yearn のその後の開発チームはプロトコルの維持に積極的に取り組んでいますが、創設者の離脱はプロジェクトの技術的発展方向に間違いなく深い影響を与えました。現時点で、Yearn チームは具体的な補償プランやバグ修正のタイムラインを発表していません。

分散型金融 セキュリティエコシステムとユーザー保護の提案

今回のyETH攻撃事件は、DeFi分野が直面しているセキュリティの課題を再び浮き彫りにしました。ブロックチェーンセキュリティ機関の統計によると、2024年上半期にDeFi分野での欠陥や攻撃によって発生した損失は4億ドルを超えており、その中で契約ロジックの欠陥と権限管理の不備が主要な攻撃ベクトルとなっています。リキッドステーキング派生商品は新興のトラックであり、その複雑な製品構造はハッカーの標的になりやすいです。

一般の分散型金融ユーザーにとって、このイベントは重要なリスク管理の洞察を提供します。類似のインデックス通貨やアグリゲーター製品に参加する際は、プロジェクトのセキュリティ監査状況を十分に理解し、特にコアの発行と償還機能の権限設定に注意を払うべきです。同時に、分散投資は特定のプロトコルリスクを低減するための効果的な戦略であり、特定のプロトコルや製品に過度にエクスポージャーを持つことを避けるべきです。

業界の観点から見ると、今回の攻撃はDeFi保険商品開発の加速を引き起こす可能性があります。Nexus Mutualのような保険プロトコルは、さまざまなDeFi商品に対してカバーを提供し始めています。また、機関向けのカストディソリューションもスマートコントラクトの脆弱性保険サービスを模索しています。規制の枠組みが徐々に明確になるにつれて、DeFiプロジェクトのセキュリティ基準は自主監査から義務的認証へと移行し、ユーザーにより包括的な保障を提供することが期待されています。

DeFi業界は警鐘を鳴らしています

Yearn Finance yETHプールが攻撃を受けた事件は、複雑な分散型金融商品がコードの安全性の観点から脆弱であることを露呈しただけでなく、リキッドステーキング派生商品が持続可能であるかどうかについての深い考察を引き起こしました。イーサリアムがステーク型証明への移行を完了した後、リキッドステーキングの分野は革新とリスクが共存する実験場となり、今回の300万ドルの損失は再び業界に警鐘を鳴らしました：収益の最適化を追求する一方で、基礎的な安全アーキテクチャを無視してはいけません。

調査が継続する中で、Yearnチームが直面しているのは技術的な修復の課題だけでなく、コミュニティの信頼を再構築するという長期的な任務でもあります。全体の分散型金融エコシステムにとって、今回の事件は標準化されたセキュリティ監査プロセスとバグバウンティプログラムの改善を推進する重要な機会となる可能性があります。集団的な努力を通じてセキュリティのハードルを高めることで、より弾力性のある分散型金融インフラを構築できるのです。