YEA:Yearn.Finance驚爆漏洞，DeFi再遭打擊，一文帶你探明事件始末！

2月5日消息，據DeBank數據顯示，DeFi真實鎖倉量突破470億美元，創下歷史新高，本文撰寫時為478.3億美元，約等于3095億人民幣。

Wintermute擬向Yearn Finance社區申請YFI貸款并計劃購買最多300萬枚yCRV:8月14日消息，Yearn Finance治理頁面顯示，Wintermute提交YFI Wintermute貸款及CRV計劃提案，該提案請求批準向Wintermute Trading提供YFI貸款，并授權將350枚YFI（218萬美元）從DAO財庫轉移到Wintermute Trading，為期12個月，利率為0.1%，貸款期結束時以實物支付。此外，Wintermute計劃動用最多300萬枚CRV（173萬美元）購買yCRV，并將其資產添加于部署到Yearn上的yCRV-CRV Curve池（lp-yCRVV2）中，為期至少6個月。Wintermute希望此舉再平衡目前占69%/31%yCRV/CRV資金池，改善yCRV掛鉤，增加資金池流動性。

該提案稱，在7天的社區討論與反饋后，將啟動快照投票。[2023/8/14 16:25:08]

2020年被稱為“DeFi元年”，DeFi在Compound首創的“流動性挖礦”推動下獲得了歷史性的大爆發，然而其安全風險居高不下。

yearn.finance計劃將多簽授權延長3個月至2021年5月:yearn.finance官方發推宣布，社區已發起新提案YIP-59，計劃臨時將多簽授權再延長3個月至2021年5月結束。當前授權原定于2021年2月24日到期。[2021/2/20 17:32:23]

北京時間2月5日凌晨，CertiK安全技術團隊發現DeFi項目Yearn.Finance發生攻擊事件，攻擊總損失高達約7100萬人民幣，黑客從中獲利約1800萬人民幣。

Yearn Finance：yDAI保險庫已恢復 已用YFI鑄造近970萬枚DAI:2月9日晚間，Yearn Finance官方發布推文表示：“yDAI保險庫已恢復。Yearn用YFI從Treasury開設了一個Maker保險庫，鑄造了970萬枚DAI，并使yDAI Vault完整。Yearn團隊還附上交易信息，顯示約1591.529枚YFI保證金用作鑄造價值近970萬枚DAI代幣。此前2月5日消息，Yearn v1 yDAI保險庫遭到攻擊，損失1100萬美元。”[2021/2/10 19:22:51]

黑客通過閃電貸獲得攻擊啟動資金，利用Yearn項目代碼漏洞，完成整個攻擊。

攻擊者獲利數目截圖

此次攻擊總計包括11筆利用漏洞獲利交易以及3筆轉換代幣交易，交易列表如下：

除開3筆轉換代幣交易之外，剩余11筆獲利交易均針對同一個漏洞，使用相同的攻擊方式完成的獲利。

攻擊大致流程圖如下：

具體步驟如下：

利用閃電貸籌措攻擊所需初始資金。

利用Yearn.Finance合約中漏洞，反復將DAI與USDT從3crv中存入和取出操作，目的是獲得更多的3Crv代幣。這些代幣在隨后的3筆轉換代幣交易中轉換為了USDT與DAI穩定幣。

完成5次重復的DAI與USDT從3crv中存取操作后，償還閃電貸。

CertiK安全技術團隊當前正在審查Yearn.Finance中存在的漏洞，更多漏洞細節將在后續分析中進行詳解。

總結

加密世界的交互往往都伴隨著一定的風險，而投資于安全的項目會收到更加長遠的回報。

而高收益必定伴隨著高風險，此次漏洞的爆發同樣是DeFi領域的一個警示。

Tags：YEAEARNCRVDAIGoldyearn.financeYearn Finance Networkcrv幣價格今日行情CDAI價格

SAND