Yearn Finance el proyecto de finanzas descentralizadas (DeFi) fue atacado el 04 de Feb y ha dejado un saldo de 11 millones de dólares en pérdidas. El fallo se aprovecho al utilizar un patrón de transacciones desde distintas plataformas para explotar vulnerar un fallo así extraer los fondos.

Yearn Finance notifico via Twitter:

Hemos notado que la bóveda v1 y DAI ha sufrido un ataque. El ataque ha sido mitigado. Informe completo a seguir.

El servicio no ha ofrecido mayor detalles técnicos de lo ocurrido.

Modus Operandi

Para el investigador de The Block el analista Igor Igamberdiev, el atacante logro una ganancia personal de 2.8 millones de dólares en criptoactivos que incluye: 513,000 DAI y 1.7 millones de USDT y 506.000 3CRV. El ataque inicio con dos préstamos rápidos: Uno por 116,000 ETH en dYdX y otro por 90,000 ETH en Aave.

Seguidamente el operador utilizo los fondos como garantía para pedir prestado 134 millones de USDC y 129 millones de DAI en la plataforma de Compound. Añadió a los 134 millones de USDC y 36 millones de DAI al pool de 3crv Curve, para luego retirar los 165 millones de USDT. De acuerdo con lgamberdiev este proceso fue repetido al menos 5 veces.

Una vez completada esta parte, el usuario envió los 93 millones de DAI pendientes a la bóveda yDAI para luego añadir 165 millones de USDT al pool de 3crv. Luego de obtener los fondos, ejecuto 2 retiros El primero por 92 millones de DAI desde la bóveda yDAI y el segundo por 165 millones de USDT desde el pool de 3crv para pagar los préstamos rápidos y la deuda con Compound retiró 39 millones de DAI y 134 millones de USDC en lugar de USDT.

Cada vez el atacante tenia mas tokens de 3crv que puedo pudo cambiar por las stablecoins. Es curioso como se ha utilizado tantos préstamos flash añadio lgamberdiev.

Reacción del Mercado y DeFi

El CEO de Aave (Stani Kulechov) comento sobre lo ocurrido y dijo: «Se trato de una vulnerabilidad compleja con mas de 160 transacciones» El patrón permitio manipular los precios para hacerse con la «ganancia».

La vulnerabilidad afecto el precio de YFI en el mercado cripto, bajando de 34,600 dolares a 30,230 pero el viernes se recupero a 32,185.

Saludos!