Yearn Finance: Una vulnerabilità nel contratto yETH consente a un hacker di sottrarre milioni
Tornano sempre, più inventivi, più tecnici. Gli hacker hanno appena colpito ancora una volta nella sfera crypto. Questa volta, la vittima è Yearn Finance. Risultato: 9 milioni di dollari svaniti. Dietro l’exploit, un bug di rara complessità nel contratto yETH. In superficie, uno swap semplice. In profondità, caos matematico. E, cosa peggiore, non si tratta di un caso isolato.
In breve
- Yearn Finance perde 9 milioni a causa di una falla in un contratto swap personalizzato.
- Il bug tecnico: una divisione omessa nel calcolo del prodotto del saldo virtuale.
- L’attaccante utilizza contratti temporanei per drenare asset e offuscare le tracce.
- È sufficiente una sola transazione per incassare il 100% della liquidità del pool yETH colpito.
Quando l’aritmetica esplode: un bug da milioni
Il 30 novembre, un utente è riuscito a creare 2,35 × 10³⁸ yETH grazie a una sottile falla nella funzione swap() dello smart contract. Questo contratto avrebbe dovuto mantenere una regola di equilibrio tra i token. Tranne che una divisione critica è stata omessa nella formula. Risultato: la variabile vb_prod è impazzita. Come un tachimetro bloccato in overdrive, ha ingannato il protocollo sul proprio stato di salute.
L’exploit è stato confermato da PeckShield, che ha avvertito in un tweet che quasi 9 milioni di dollari erano andati persi. Parte dei fondi — circa 3 milioni in ETH — è stata inviata tramite Tornado Cash, un famoso mixer crypto utilizzato per oscurare le tracce. Il resto giace ancora sull’indirizzo dell’hacker.
La gravità del bug non è una semplice svista. Come ha spiegato Ilia.eth su X:
L’exploit di oggi del pool $yETH non è stato un attacco di tipo flash loan sui prezzi, ma piuttosto un collasso strutturale della contabilità interna dell’AMM. Ecco un’analisi tecnica che mostra come una semplice divisione omessa abbia portato al drenaggio completo del protocollo.
Questa falla ricorda dolorosamente il precedente di Balancer, dove una cattiva gestione degli arrotondamenti ha causato un caos simile. Stessa causa, stesso effetto: creazione monetaria incontrollata seguita da un prelievo legittimo ma distruttivo.
Contratti helper per radere al suolo l’architettura di Yearn Finance
Non è solo il bug a impressionare. È l’ingegneria dell’attacco. In una sola transazione, l’hacker ha orchestrato tutto: deploy dei “contratti helper”, minting dei token, conversione in ETH, trasferimento dei fondi e autodistruzione dei contratti per cancellare le tracce.
Secondo Blockscout, ogni contratto helper ha eseguito una chiamata mirata alla funzione vulnerabile, poi ha inviato l’ETH a un wallet principale prima di sparire. Una strategia degna di un film di rapine, dove il ladro cancella le sue impronte digitali nello stesso secondo in cui agisce.
L’indirizzo chiave identificato da diversi analisti è: 0xa80d…c822, che attualmente detiene ancora circa 6 milioni in stETH, rETH e altri derivati Ethereum.
Su X, William Li offre ulteriori approfondimenti:
L’hacker in realtà non ha prelevato tutti gli yETH che ha creato, ne ha venduto solo una parte nel pool yETH-ETH per 1.000 ETH (circa 3 milioni di dollari) — che è molto meno del reale guadagno ottenuto (P2).
Più che un furto, si tratta quindi di una disintegrazione controllata del protocollo yETH. E dietro l’attacco, una profonda conoscenza matematica, unita a un talento di programmazione freddo e preciso.
Crypto e fiducia: quando il codice diventa il tallone d’Achille
Yearn Finance è tutt’altro che un progetto amatoriale. Eppure, la falla non è stata rilevata né dagli utenti né dagli audit. È qui che la questione diventa preoccupante per l’intero mercato crypto. Perché questo tipo di errore — una moltiplicazione al posto di una divisione — potrebbe esistere altrove, in agguato in altri protocolli.
La struttura del contratto yETH è un ibrido tra Curve e Balancer. Solo che invece di ricalcolare ogni transazione, memorizza uno stato intermedio (vb_prod) che dovrebbe essere aggiornato dopo ogni swap. Una pratica pericolosa, secondo Ilia.eth:
Memorizzare i risultati di prodotti complessi (vb_prod) per aggiornarli in modo incrementale è estremamente rischioso. Gli errori si accumulano e il minimo bug logico può restare attivo indefinitamente. Sarebbe meglio ricalcolare gli invarianti dai saldi correnti.
L’hack riaccende il dibattito: bisogna dare priorità al risparmio di gas o al rigore? Una cosa è certa: le conseguenze di un compromesso mal gestito ora ammontano a milioni. In Yearn, è tempo di rimobilitazione: SEAL911, ChainSecurity e un’indagine post-mortem sono già in prima linea.
5 fatti chiave sull’exploit di Yearn Finance
- 30 novembre 2025: data dell’hack;
- 9 milioni di dollari: perdite totali stimate;
- 2,35 × 10³⁸ yETH: token creati artificialmente;
- Transazione singola: l’intero attacco è avvenuto in un solo blocco;
- Contratti helper: deployati, utilizzati, poi autodistrutti.
Gli errori di calcolo nelle crypto non perdonano. E per una buona ragione: non sarebbe stato un altro audit a evitare la carneficina. Balancer, nonostante 11 audit di sicurezza, è stato anch’esso svuotato da un bug quasi gemello. Un semplice fattore di moltiplicazione può diventare un’arma di distruzione di massa quando la finanza diventa programmabile. I protocolli hanno memoria corta, ma le blockchain non dimenticano mai.
Esclusione di responsabilità: il contenuto di questo articolo riflette esclusivamente l’opinione dell’autore e non rappresenta in alcun modo la piattaforma. Questo articolo non deve essere utilizzato come riferimento per prendere decisioni di investimento.
Ti potrebbe interessare anche
Deutsche Bank: più la potenza di calcolo è limitata, più SpaceX guadagna; il rischio politico di Musk dopo l'elezione è sopravvalutato
Deutsche Bank ritiene che il rischio politico per SpaceX sia sopravvalutato dal mercato: i contratti principali sono stipulati da agenzie federali, lo spazio per l’intervento del Congresso è estremamente ridotto e nella maggior parte dei settori non esistono fornitori alternativi. Il rischio più immediato proviene dalla ferma posizione del governatore eletto del Texas riguardo ai data center, ma una restrizione nell’offerta di capacità di calcolo potrebbe addirittura rafforzare il potere di determinazione dei prezzi e i ricavi di SpaceX.
Dopo il crollo delle azioni americane, Cathie Wood: più il mercato è preoccupato, più sono ottimista, il mercato toro non è finito
Mentre il Nasdaq entra in una fase di correzione, Cathie Wood (“la regina dell’innovazione”) si esprime affermando che proprio il clima di preoccupazione dominante nel mercato la rende ancora più fiduciosa nella continuazione del mercato rialzista. Attribuisce l’attuale correzione alla pressione sul mercato obbligazionario e alle controversie sugli investimenti in capitale per l’AI, ma sottolinea che la rivoluzione tecnologica è ancora a metà strada. Wood ha inoltre rivelato che ARK ha approfittato della situazione per aumentare le proprie posizioni ad alta convinzione come SpaceX, prevedendo che i mercati azionari continueranno ad andare bene fino al 2027.
Dopo la "settimana nera" delle azioni tecnologiche, Wall Street chiama al "buy the dip"
Morgan Stanley ha dichiarato chiaramente che "le prossime due o tre settimane sono un'opportunità per aumentare le posizioni". Ed Yardeni ha definito l'attuale calo una "correzione" e non lo scoppio di una bolla. La previsione media degli istituti principali di Wall Street per il target di fine anno dello S&P 500 è di 7973 punti. Tuttavia, la maggior parte degli strateghi ritiene che l'orientamento delle politiche sull'AI resti la principale variabile.
CoreWeave scrive al governatore eletto del Texas, cercando una "consultazione sui data center"
In questa lettera aperta, Michael Intrator afferma che CoreWeave "sostiene fortemente" la posizione di principio di Hinojosa secondo cui la crescita dei data center deve beneficiare i cittadini del Texas. "Siamo lieti di collaborare con il vostro team di transizione per portare avanti responsabilmente i progetti già approvati e per stabilire standard chiari e duraturi per i futuri sviluppi", ha dichiarato.
Prezzi delle criptovalute
Altro
