Yearn Finance, v\u00e9t\u00e9ran de la DeFi, vient d\u2019encaisser un nouveau coup dur. Un attaquant a exploit\u00e9 une faille dite d\u2019\u00ab infinite mint \u00bb sur le vault yETH. Ce produit est adoss\u00e9 \u00e0 des liquid staking tokens d\u2019Ethereum, utilis\u00e9s comme collat\u00e9ral dans d\u2019autres protocoles. Pr\u00e8s de 9 millions de dollars ont \u00e9t\u00e9 siphonn\u00e9s, puis partiellement blanchis via Tornado Cash.<\/p>
Le vault yETH agr\u00e8ge diff\u00e9rents LST comme stETH ou rETH pour les<\/strong> transformer en un seul jeton<\/strong>. Ce jeton offre une exposition diversifi\u00e9e au staking d\u2019Ethereum et sert aussi de collat\u00e9ral productif.<\/p> D\u2019abord, il faut comprendre comment cette m\u00e9canique a \u00e9t\u00e9 d\u00e9tourn\u00e9e par l\u2019attaquant. L\u2019attaque d\u00e9marre le 30 novembre en fin de journ\u00e9e, quand un contrat malveillant<\/strong> commence \u00e0 tester les limites du vault.<\/p> La vuln\u00e9rabilit\u00e9 vient du calcul des parts du vault yETH<\/strong>. L\u2019attaquant parvient \u00e0 frapper une quantit\u00e9 quasi illimit\u00e9e de yETH sans d\u00e9poser l\u2019\u00e9quivalent en collat\u00e9ral. Il exploite un bug de logique<\/strong> dans la fa\u00e7on dont le contrat valorise le pool commun des d\u00e9p\u00f4ts. Chaque yETH frapp\u00e9 \u00e0 partir de ce d\u00e9faut lui donne une part artificiellement \u00e9norme dans la r\u00e9serve globale.<\/p> Une fois ces yETH cr\u00e9\u00e9s, le pirate passe \u00e0 l\u2019\u00e9tape suivante, la plus visible. Il utilise ses jetons pour retirer les \u00ab vrais \u00bb actifs des pools reli\u00e9s, notamment LST et WETH. En quelques transactions seulement, l\u2019essentiel de la liquidit\u00e9 dispara\u00eet de yETH<\/strong> et des principales paires associ\u00e9es. Les estimations situent le pr\u00e9judice total autour de 9 millions de dollars<\/strong>, dont pr\u00e8s de 1 000 ETH d\u00e9plac\u00e9s rapidement<\/a>.<\/p>