Los hackers son muy creativos a la hora de armar ataques para aprovechar vulnerabilidades en sistemas, servicios y apps, como fue el caso de Yearn Finance
15.04.2023 • 05:46hs • Ciberseguridad
Ciberseguridad
Un ataque al agregador cripto Yearn Finance hace millonario a un hacker
Yearn Finance es un agregador de rendimientos basado en protocolos DeFi, y en estos días fue atacado aprovechando un error con su token yUSDT.
El atacante hizo uso de un error en el código de una versión anterior del protocolo, lo que le permitió robar u$s 11,6 millones. Para lograr tener una cuenta había depositado sólo u$s 10.000.
Según el investigador Sam Sun, el error aprovechado está relacionado con el token yUSDT, más exactamente en iearn, un contrato inteligente antiguo del protocolo, que es la representación de la stablecoin Tether (USDT) en esa plataforma.
Recordemos que Yearn Finance es un agregador de rendimientos, y usan los tokens otorgados por pools de liquidez para generar ganancias al proveer liquidez a otros protocolos.
Lo sucedido fue confirmada por la firma de analíticas y seguridad PeckShield, que sumo que el hacker usó lo depositado para generar más de 1,2 trillones de yUSDT. Luego cambió ese monto por ether (ETH) y otras stablecoins, como DAI, USD Coin (USDC), Binance USD (BUSD), TrueUSD (TUSD) y USDT en el Exchange descentralizado Uniswap y en la plataforma de inversiones Aave.
Sam Sun detalló al respecto que iearn "estaba mal configurado y usaba el token Fulcrum iUSDC en lugar del token Fulcrum iUSDT".
Algo para recalcar es que la vulnerabilidad existía ya hace casi tres años.
Que dijeron desde Yearn Finance y Aave
Un contribuyente de iearn y de Yearn Finance identificado como Storm Blessed escribió en Twitter que el problema se limita a iearn y al pool de liquidez, pero que los vaults de Yearn Finance v2 "parecen no verse afectados", aunque el equipo de desarrollo está investigando el caso. Lo mismo ratificó la cuenta oficial de iearn, indicó CriptoNoticias.
Aave informó que sus versiones 2 y 3 no se vieron afectadas, pero están investigando posibles efectos en su v1, "la versión más vieja del protocolo que ya fue congelada".