Yearn Finance遭遇900万美元攻击事件后追回240万美元

Yearn Finance追回部分被盗资金，迈出修复yETH漏洞损失第一步

Yearn Finance通过与Plume和Dinero的协同合作，成功从900万美元的yETH漏洞事件中追回240万美元资产。本次追回资金涵盖攻击者仍持有的部分资产，但已通过混币器转移的ETH目前仍无法收回。平台正在全面开展事件复盘，并计划采取进一步措施向受影响用户返还剩余资金。

漏洞事件回顾

11月底发生的yETH漏洞事件导致Yearn Finance损失900万美元。12月1日最新消息显示，通过与Plume和Dinero的协同努力，平台已成功追回857.49枚pxETH（约合239万美元），所有追回资产将全额返还受影响用户。

该漏洞事件发生于UTC时间11月30日21:11，攻击目标为Yearn传统的yETH稳定兑换池。由于该合约采用自定义代码而非标准Curve协议实现，细微的算术缺陷使攻击者能在单笔交易中铸造大量yETH，继而从受影响资金池中提取资产。据估算，yETH稳定兑换池损失约800万美元，Curve平台的yETH-WETH池损失约90万美元。

值得注意的是，Yearn其他产品均未使用该合约代码，管理超6亿美元资产的V2、V3金库未受影响。事件发生后，Yearn与SEAL 911、ChainSecurity的技术专家立即成立应急小组，目前正在进行全面事件分析。

资产追回进展与后续计划

尽管部分被盗ETH已通过 Tornado Cash 完成洗钱，实现全额追回可能性较低，但攻击者钱包中部分流动性质押代产在漏洞发生后仍处于可追踪状态，这成为Yearn本次追回行动的重点目标。

最新追回的pxETH尚未被攻击者转移或兑换。Yearn通过与Plume和Dinero合作，成功冻结了攻击者的pxETH头寸，并将等值资产重新划归协议。这使得受影响存款人无需经过司法程序或漫长谈判即可获得补偿。团队表示追收工作仍在持续进行，若链上条件允许或将追回更多资产。

调查进行期间，受影响用户可通过Yearn官方Discord渠道申请支持。协议方重申其他产品均不共享此代码路径，正在对旧合约进行全面审查以防类似问题重现。

及时的信息披露有效稳定了市场对Yearn生态的信心，尤其在YFI代币因攻击事件暴跌后。随着追回细节的公布，该代币已收复部分失地。待审计合作伙伴完成审查后，Yearn将发布完整事件报告，团队已引导用户查阅其漏洞披露框架与审计历史的相关文档。