Yearn因黑客攻擊而損失1100萬美元，這是如何發生的？_YEA

"2月5日，YearnFinancev1版本的yDAI機槍池漏洞被利用，損失1100萬美元，該名攻擊者總共獲得51.3萬DAI、170萬USDT和50.6萬3CRV，大約280萬美元。目前團隊正在針對此次事件進行調查，暫時禁用了在機槍池存入v1DAI、TUSD、USDC、USDT功能。"

2月5日凌晨5點左右，yearn官方在推特上表示，

“我們已經注意到yearnv1yDAI機槍池出現了一個漏洞。該漏洞已得到緩解。之后將發布漏洞報告。”

Yearn Finance通過新代幣經濟模型提案，未來 YFI 持有者需質押代幣才能參與治理:1月4日消息，收益聚合器項目 Yearn Finance 社區以99.68%的投票結果通過第65號關于新代幣經濟模型的提案。根據該提案，一部分 YFI 代幣將由Yearn Finance 金庫回購，以獎勵積極參與 Yearn 治理的 YFI 持有者。同時為加強 YFI 代幣在治理中的作用，提出幾項更改：

一，YFI代幣持有者通過質押 YFI 獲得 xYFI，質押者將獲得 Yearn Finance 額外回購的 YFI 代幣份額，當 YFI 代幣價格上漲時，質押者可以賺取更多收益。此舉意味著，未來只有質押 YFI 代幣才有資格參與 Yearn Finance 治理。

二，用戶將能夠選擇 YFI 代幣的鎖定時長，一個人鎖定的時間越長，獲得的獎勵就越多。這一機制促使 YFI 的循環供應量減少。?用戶還將收到 veYFI 代幣，用于投票，與他們鎖定 YFI 的時間成正比。?

據稱，該提案靈感來自 Curve Finance，旨在通過改進代幣經濟學限制流動性供應，促進長期價格升值。[2022/1/4 8:23:22]

Yearn核心開發者banteg隨后發布信息表示，

YFI創始人：Yearn和Akropolis達成合作，Akropolis可使用Yearn，Pickle和Cream產品:YFI創始人Andre Cronje表示，Yearn和Akropolis達成合作，Yearn將繼續開發一流的Vault和借貸協議解決方案。Akropolis成為前臺機構服務提供商，提供定制的客戶網絡接入服務，并為客戶量身定制投資策略。協同作用：Akropolis和Yearn合并開發資源；Akropolis和Yearn TVL增加；Akropolis可使用Yearn，Pickle和Cream產品，并可將其DCA解決方案與這些產品集成；Yearn可以使用Akropolis制定的新投資策略；Yearn獲得了Akropolis業務發展的專業知識，并獲得了機構客戶網絡的支持。[2020/11/30 22:37:18]

“YearnDAIv1機槍池被黑客攻擊，攻擊者已獲得280萬美元，整個機槍池損失了1100萬美元。在我們調查期間，針對v1DAI，TUSD，USDC，USDT機槍池的策略存款將會被禁用。”

Pickle和Yearn達成合作，將分配跟蹤Jar攻擊所造成損失的新代幣CORNICHON:YFI創始人Andre Cronje表示，Pickle和Yearn的開發人員已經設計出一種結構，以使兩個項目可以共生地協同工作。下面最初的最低版本，并計劃進一步集成。

1. Pickle Jars和Yearn’s v2 Vaults合并；

2. Pickle推出獎勵Gauges，Pickle釋放仍然存在，代幣通過獎勵Gauges分配；

3. Yearn Vault儲戶可以通過將Vault份額存儲在Gauges中來獲得額外的獎勵；

4. Pickle Governance參與者將Pickle鎖定在設定的到期日獲得投票權，并獲得DILL；

5. Yearn vault可以通過鎖定Pickle得到DILL獲得額外的獎勵，最高可達2.5倍，他們持有的DILL越多，獎勵就越大；

6. Gauge存款、取款、履約和協議費用歸DILL持有人；

7. 一個跟蹤最近Jar攻擊所造成的損失新代幣CORNICHON，按比例分配給攻擊的受害者。[2020/11/24 21:59:32]

banteg還表示，yearn團隊對這次攻擊的應對反應迅速，從發現到實施緩解總共用時10分鐘14秒，將原本可能導致3500萬美元損失降低到1100萬美元。

在這次漏洞攻擊中，攻擊者拿走了280萬美元，而另外超過300萬美元資金流向了Curve質押者。

黑客攻擊手法

TheBlock研究分析師IgorIgamberdiev表示，攻擊者在這次漏洞中總共執行了11個步驟。

1/通過閃電貸從dYdX借來11.6萬ETH

2/通過閃電貸從Aavev2借來9.9萬ETH

3/使用ETH作為抵押品借入1340萬USDC和1290萬DAI

4/在3crvCurve池中添加1340萬USDC和360萬DAI

5/從3crvCurve池中提取1.65億USDT

6/以下操作重復5次：

-將930萬DAI存入yDAI機槍池

-將1650萬USDT添加到3crv池中

-從yDAI機槍池中提取920萬DAI

-從3crv池中提取1.65億USDT

7/最后一次取款3900萬DAI和1.34億USDC，而不是USDT

8/償還Compound借貸

9/償還閃電貸

攻擊者每次重復操作的時候就會擁有更多3crv代幣，然后將其兌換為穩定幣。有意思的是，竟然使用了這么多次閃電貸。預計會有新的關于閃電貸的演講文章會很快發布。

截止目前，yearn還未發布關于這次攻擊的詳細漏洞報告，具體資金流向還不清楚。

Tags：YEAEARNYFIUSDYearn Loans FinanceEARN$幣LYFIUSDK

中幣