Yearn Finance يشتبه في تعرضه للاختراق، هاكر قد أرسل 1,000 ETH من الأموال المسروقة إلى Tornado Cash

في 1 ديسمبر، يبدو أن بروتوكول التمويل اللامركزي Yearn Finance تعرض لهجوم، حيث استنفد هاكر من خلال السك غير المحدود لـ yETH خزانات السيولة الخاصة به.

وفقا لشركة الأمن PeckShield، فإن إجمالي الخسائر الناجمة عن هذا الهجوم بلغ حوالي 9 ملايين دولار.

تشير بيانات blockchain إلى أن المهاجمين قد نقلوا 1000 قطعة من ETH (حوالي 3 ملايين دولار) إلى خلاط العملات المشفرة Tornado Cash، بينما لا يزال عنوان المهاجمين يحتفظ بأصول مشفرة تقدر بحوالي 6 ملايين دولار.

!

01 ملخص الحدث: تم سحب بركة yETH بسرعة

تعرض منتج Yearn Ether (yETH) من Yearn Finance لهجوم خطير في 1 ديسمبر، وهو منتج يجمع بين عدة رموز إيداع سيولة (LST) الشائعة.

استغل المهاجم ثغرة مصممة بعناية ليقوم بصك كمية قريبة من اللانهاية من رموز yETH في صفقة واحدة، مما أدى إلى استنزاف كامل صندوق السيولة.

وفقًا لبيانات البلوكشين، تتضمن هذه الهجمة العديد من العقود الذكية التي تم نشرها حديثًا، حيث تقوم بعض العقود بتدمير نفسها على الفور بعد إتمام الصفقة، مما يزيد من تعقيد تحقيق الحدث.

بعد حدوث الهجوم، أصدرت Yearn Finance بيانًا على منصة X: “نحن نحقق في الحادث المتعلق بحوض yETH LST StableSwap، ولم تتأثر خزائن Yearn V2 و V3.”

02 أسلوب الهجوم: السك غير المحدود وتحويل الأموال

وفقًا لمراقبة المستخدم X Togbe، فقد اكتشفوا هذا الهجوم غير الطبيعي أثناء مراقبة التحويلات الكبيرة.

علق توغبي: “تظهر التحويلات الصافية أن yETH تم سكها بشكل مفرط، مما مكن المهاجمين من سحب الأموال من بركة السيولة وتحقيق ربح يقارب 1,000 ETH.”

خلال الهجوم، تم التضحية بجزء من ETH لأسباب غير معروفة، لكن المهاجم لا يزال يحقق الأرباح في النهاية.

بعد النجاح، قام المهاجم بتحويل 1000 قطعة من ETH (بقيمة حوالي 3 مليون دولار) إلى Tornado Cash، وهو بروتوكول خصوصية لامركزي، وغالبًا ما يستخدم لإخفاء تدفقات الأموال.

وفقًا لبيانات PeckShield، لا يزال عنوان المهاجم يحتفظ بأصول تشفيرية بقيمة حوالي 6 ملايين دولار.

03 Tornado Cash: أداة الخصوصية و جدل غسل الأموال

تورنادو كاش هو بروتوكول خصوصية لامركزي قائم على الإيثيريوم، يساعد المستخدمين في إخفاء معلومات المعاملات من خلال تقنية الإثباتات الصفرية.

يوفر هذا البروتوكول حماية الخصوصية للمستخدمين من خلال قطع الروابط على السلسلة بين عناوين الإيداع والسحب.

ومع ذلك، فإن هذه الميزة الخصوصية تجعلها أيضًا الأداة المفضلة للهاكر لغسل الأموال.

وزارة الخزانة الأمريكية أدرجت Tornado Cash في قائمة العقوبات في أغسطس 2022، وذلك بسبب استخدام مجموعة هاكرز Lazarus لهذه المنصة لغسل الأموال عدة مرات منذ عام 2019، بمبالغ تصل إلى مئات الملايين من الدولارات.

في مارس 2025، تمت إزالة Tornado Cash أخيرًا من قائمة العقوبات التابعة لوزارة الخزانة الأمريكية، وهو ما يُعتبر انتصارًا كبيرًا لصناعة blockchain.

04 تاريخ أمان Yearn Finance

هذه ليست هي المرة الأولى التي تواجه فيها Yearn Finance حدث أمني.

في عام 2021، تعرض البروتوكول لهجوم، أثر على خزينة yDAI الخاصة به، مما تسبب في خسارة قدرها 11 مليون دولار، وحقق الهاكر في النهاية ربحًا قدره 2.8 مليون دولار.

في ديسمبر 2023، بسبب خطأ في البرنامج النصي، تعرض مركز خزينة واحد من البروتوكول لخسارة بنسبة 63%، لكن أموال المستخدمين لم تتأثر.

أطلق مؤسس Yearn Finance أندريه كرونيه المشروع في عام 2020، لكنه غادر بعد عامين.

05 تأثير السوق على انخفاض العملات المشفرة بشكل عام

عند حدوث الهجوم، كانت سوق العملات المشفرة تشهد انخفاضًا كبيرًا.

في صباح يوم 1 ديسمبر، انخفض سعر البيتكوين إلى أقل من 86,000 دولار، حيث تجاوزت نسبة الانخفاض خلال اليوم 5٪؛ كما انخفض الإيثريوم أيضاً دون مستوى 2900 دولار.

تظهر بيانات Coinglass أنه خلال 24 ساعة، تجاوزت تصفية العقود في جميع أنحاء شبكة العملات الرقمية 500 مليون دولار، وبلغ عدد الأشخاص الذين تم تصفيتهم 177,200.

قد يكون الانخفاض في السوق مرتبطًا بالشائعات في السوق - هناك تقارير تفيد بأن رئيس الاحتياطي الفيدرالي باول قد يستقيل، على الرغم من أن وسائل الإعلام الرئيسية في الخارج لم تقم بتغطية هذا الخبر، ويعتقد المحللون أن هذه الأنباء على الأرجح مزيفة.

06 ردود الفعل الصناعية وآفاق المستقبل

كل حدث هجوم هاكر يثير تساؤلات حول أمان التمويل اللامركزي.

في حالة Tornado Cash ، رفعت وزارة العدل الأمريكية في أغسطس 2023 دعوى جنائية ضد المؤسسين المشاركين لـ Tornado Cash ، Roman Storm و Roman Semenov ، بتهمة التآمر لغسل الأموال ، وبدون ترخيص لإدارة أعمال تحويل الأموال ، وانتهاك القوانين المتعلقة بالعقوبات.

تعارض المنظمات الصناعية ذلك، حيث أشارت Coin Center إلى أن “اعتبار تطوير البرمجيات مفتوحة المصدر جريمة هو قمع للابتكار التكنولوجي.”

بالنسبة للمستثمرين المؤسسيين، فإن حالة Tornado Cash تشير إلى أن الهيئات التنظيمية الآن تطلب الامتثال النشط، وليس فقط الامتثال للتحقق من هوية الأطراف المتعاقدة.

تحتاج المؤسسات إلى تنفيذ نظام مراقبة blockchain في الوقت الفعلي، ودمجه مع الفحص الآلي للعقوبات، لتحديد ومنع المعاملات المشتبه بها قبل حدوثها.

آفاق المستقبل

تقدّر شركة PeckShield لأمن blockchain أن إجمالي الخسائر الناجمة عن هذا الهجوم يبلغ حوالي 9 ملايين دولار، حيث تم تحويل حوالي 3 ملايين دولار إلى Tornado Cash، ولا يزال عنوان المهاجم يحتفظ بحوالي 6 ملايين دولار من الأصول المشفرة.

حتى تاريخ النشر، لا يزال فريق Yearn Finance يحقق في هذا الحدث، ويؤكد أن خزائن V2 و V3 لم تتأثر. يبرز هذا الحدث مرة أخرى التحديات المستمرة التي تواجهها اللامركزية المالية في مجال الأمان والامتثال التنظيمي.