Yearn Finance は11月30日、攻撃者が事実上無制限のトークンをミントして Balancer プールから流動性を吸い上げる攻撃を行い、同社の yETH プロダクトが悪用されていることを確認した。今回のインシデントにより、およそ280万ドル相当の資産が盗まれた。攻撃直後には、およそ1,000 ETH が Tornado Cash を通じて資金洗浄された。一方で、悪材料にもかかわらず YFI のトークン価格は約4,080ドルから1時間以内に4,160ドル超まで急騰した。
何が起きたのか：無限ミント攻撃
ブロックチェーンデータによると、この悪用は11月30日21:11（UTC）頃に発生し、悪意あるウォレットが単一トランザクションで約235兆yETHを生成する「無限ミント」攻撃を実行した。
Nansen のアラートシステムがこの攻撃を確認した。
脆弱性はYearnのVaultインフラではなく、yETHトークンコントラクトそのものに存在しており、攻撃者は新たにミントしたトークンを用いて、主にETHとリキッドステーキングトークンといった実資産をBalancerの流動性プールから吸い上げた。
初期推計では、およそ280万ドル相当の資産が引き出されたとみられている。攻撃に用いられた複数のヘルパーコントラクトは、インシデント発生の数分前にデプロイされ、その後トレイルを隠すために自爆（self-destruct）した。一方、攻撃直後に約1,000ETHがTornado Cashを通じて資金洗浄された。
Yearnは、V2およびV3 Vaultには影響はなく、脆弱性はレガシー版のyETH実装に限定されていると述べている。
関連記事: Strategy Would Sell Bitcoin Only as Last Resort if mNAV Drops Below 1x
なぜ重要か：市場への影響
市場の反応は予想外の展開となった。ソーシャルメディアやブロックチェーンアナリストによって悪用が報告された直後、YFIの価格はネガティブなヘッドラインにもかかわらず、約4,080ドルから1時間以内に4,160ドル超まで上昇した。
この価格急騰は、インシデント発生直後に「Yearnのエクスプロイト」という初期報告が出回り、市場が状況を誤解したことに起因しているとみられる。YFIは流動性が薄く、過去のハック時に急激な下落を経験してきたことから、トレーダーはYFIで高レバレッジのショートポジションを積み上げた。
しかし、攻撃対象がYearnのVaultではなくyETHに限定されていることが明らかになると、ショート勢はポジションを買い戻し始めた。これにより、一時的なショートスクイーズとボラティリティ主導の急騰が発生した。YFIの循環供給量は33,984トークンに過ぎず、主要なDeFiガバナンストークンの中でも特に流動性が低いため、不確実性や急速な清算が生じる局面では価格変動が増幅されやすい。
現時点では、損失は悪用の影響を受けたyETHおよびBalancerプールに限定されているとみられ、プロトコルのTotal Value Locked（TVL）は6億ドル超を維持していることから、中核システムは侵害されていないと考えられる。調査は現在も継続中だ。
次に読む: Dogecoin ETFs Record $2 Million In Debut Week Inflows Far Below Analyst Projections