Yearn Finance thu hôi 2,4 triệu USD tài sản sau vụ hack

Yearn Finance phục hồi 2,4 triệu USD sau vụ tấn công nghiêm trọng

Ngày 1/12, Yearn Finance thông báo đã thu hồi được khoảng 2,4 triệu USD tài sản bị đánh cắp từ vụ tấn công nhắm vào pool yETH trên Curve. Vụ hack được đánh giá có mức độ phức tạp cao, tương tự cơ chế tấn công vào Balancer gần đây, và khiến tổng thiệt hại ước tính gần 9 triệu USD.

Hệ thống cho biết quá trình thu hồi tài sản vẫn đang diễn ra, với sự phối hợp của nhiều đơn vị bảo mật như SEAL 911, ChainSecurity và Plume Network. Tính đến thời điểm công bố, đội ngũ đã thu hồi 857,49 pxETH từ các dòng tiền bị dịch chuyển.

Lỗi “unchecked arithmetic” – nguyên nhân cốt lõi của vụ hack

Trong báo cáo post-mortem, Yearn xác định “root cause” của vụ tấn công bắt nguồn từ một lỗi trong phép tính không được kiểm soát – “unchecked arithmetic”.

Unchecked arithmetic là gì?

Trong nhiều ngôn ngữ lập trình smart contract, việc cộng – trừ – nhân – chia số có thể gây ra tràn số (overflow) hoặc tụt số (underflow) nếu không được kiểm tra. Unchecked arithmetic nghĩa là hàm tính toán không tự động kiểm tra giới hạn số, dẫn đến:

Nếu giá trị vượt quá giới hạn, kết quả sẽ bị lỗi, nhưng smart contract vẫn tiếp tục chạy
Hacker có thể lợi dụng lỗi tính toán để tạo ra giá trị sai lệch một cách cực lớn, vượt ngoài thiết kế hệ thống

Ví dụ dễ hiểu: Nếu một hợp đồng cho phép mint token theo công thức nhưng không kiểm tra tràn số, hacker có thể khiến kết quả nhảy thành một con số khổng lồ gần như vô hạn, rồi dùng số token “fake” đó để rút tài sản thật khỏi pool.

Đúng như vậy, trong vụ attack này, hacker đã lợi dụng lỗi để mint ra 2.3544 × 10^56 yETH — một lượng token gần như vô hạn.

Chính khối lượng token bất thường này tạo điều kiện cho kẻ tấn công rút sạch tài sản thật khỏi:

yETH stableswap pool trên Curve
pool yETH–WETH quy mô nhỏ hơn

Yearn mô tả chuỗi giao dịch của kẻ tấn công diễn ra theo mô hình quen thuộc: Mint lượng yETH “ảo” cực lớn → rút tài sản thật → để lại nguồn cung token trở nên vô nghĩa.

Cách hacker tổ chức tấn công

Dữ liệu từ BlockScout cho thấy hacker sử dụng các helper contracts tự hủy (self-destructing contracts). Đây là kỹ thuật phổ biến trong các vụ exploit phức tạp, đặc biệt khi tin tặc dùng flash loan để thực hiện nhiều thao tác trong một giao dịch.

Bước tấn công bao gồm:

Deploy helper contract
Thao túng hàm yETH dễ bị khai thác
Mint lượng yETH khổng lồ
Rút tài sản thật khỏi pool
Kích hoạt self-destruct để xóa bytecode

BlockScout giải thích: dù bytecode bị xóa, lịch sử giao dịch và log vẫn tồn tại, hỗ trợ việc điều tra và truy vết dòng tiền.

Một phần tài sản đã được thu hồi - Hacker tẩu tán 1.000 ETH qua Tornado Cash

Yearn xác nhận họ đã hợp tác cùng:

SEAL 911
ChainSecurity
Plume Network

Nhờ đó, đội ngũ đã thu hồi 857,49 pxETH tính đến thời điểm cập nhật mới nhất.

Tuy nhiên, phía hacker đã kịp:

chuyển ít nhất 1.000 ETH
cùng nhiều token staking thanh khoản

đến dịch vụ trộn tiền Tornado Cash, gây khó khăn cho quá trình truy vết.

V2 Và V3 Vault không bị ảnh hưởng - Đội ngũ cam kết hoàn trả tài sản

Yearn trấn an cộng đồng rằng:

Các vault V2 và V3 hoàn toàn không bị ảnh hưởng,
Chỉ các sản phẩm cũ sử dụng code legacy mới bị tấn công.

Dự án khẳng định: mọi tài sản thu hồi được sẽ hoàn trả cho người dùng bị thiệt hại.

“Đây là vụ tấn công có độ phức tạp cao tương tự sự cố Balancer gần đây, nên chúng tôi cần thời gian để hoàn thiện phân tích hậu kiểm,” đội ngũ viết trên X.

Kết Luận

Vụ hack tiếp tục là lời cảnh báo về rủi ro trong các giao thức DeFi lâu năm khi codebase đã lỗi thời, dễ bị tin tặc khai thác bằng kỹ thuật tinh vi. Trong khi Yearn đã thu hồi một phần tài sản, tổng thiệt hại ước tính gần 9 triệu USD cho thấy cuộc chiến bảo mật trong DeFi vẫn còn đầy thách thức.

Nếu bạn muốn tao viết thêm bản phân tích chuyên sâu, bản summary hoặc phiên bản viết SEO theo format khác nữa cứ bảo tao nha.

ọc thêm: