يخسر Yearn Finance 300 ألف دولار في استغلال خزنة TUSD

تعرضت شركة Yearn Finance، إحدى بروتوكولات التمويل اللامركزي الرائدة (DeFi)، لانتكاسة كبيرة حيث وقعت خزنة TUSD القديمة ضحية لاستغلال متقدم.

وفقا لشركة الأمن PeckShield، تمكن المهاجمون من استخراج حوالي 300,000 دولار، وتحويل الأصول المسروقة إلى 103 إيثر محتجز الآن في العنوان 0x0F21... 4066.

ومن الجدير بالذكر أن الحادثة أعادت إشعال القلق بشأن ثغرات العقود الذكية القديمة وغير القابلة للتغيير التي لا تزال نشطة على إيثيريوم بعد سنوات من نشرها.

خزنة TUSD تم تكوينها بشكل خاطئ

وفقا لتحليل ويليام لي، استهدف الاختراق خزنة قديمة من قسم Yearn TUSD، تعرف باسم "خزنة iearn TUSD"، والتي تم استبدالها منذ زمن طويل بإصدارات أحدث.

حدد الباحثون خطأ في إعداد استراتيجية الخزنة، حيث استخدم خزنة Fulcrum sUSD للحسابات مع النظر فقط في أرصدة sUSD المودعة في الخزنة.

هذا التصميم المعيب خلق مسارا لما يسمى ب "هجوم التبرع"، مما سمح للمرتكبين بالتلاعب الاصطناعي بسعر سهم الخزنة.

استغل المهاجمون هذا الضعف بسلسلة من القروض المفاجئة، حيث اقترضوا مبالغ كبيرة من TUSD وsUSD دون أي ضمانات مقدمة.

قاموا بإيداع sUSD لسك رموز sUSD من Fulcrum قبل وضع TUSD في الخزنة.

نظرا لأن سعر سهم الخزنة تجاهل أصول الدولار الواحد فقط، فإن وظيفة إعادة التوازن اللاحقة، التي سحبت جميع الدولارات النقدية الأساسية، تسببت في انهيار مقاييس المحاسبة للخزنة.

سمحت هذه "الصدمة السعرية" المصطنعة للمهاجمين بسك كميات هائلة من رموز Yearn TUSD بتكلفة منخفضة وبيعها في تجمع منحنيات، مستخلصين القيمة من مزودي السيولة قبل سداد القروض السريعة.

نمط من الثغرات الإرثية

لاحظ محللو الأمن أن هذا الاستغلال يعكس هجوما مشابها في عام 2023، عندما أدى عقد yUSDT في التكوين بشكل خاطئ إلى خسائر تجاوزت 10 ملايين دولار.

نشأت تلك الحادثة من خطأ في النسخ واللصق يشير إلى عقد فولكروم الخاطئ، مما سمح للقراصنة باستخراج كميات غير مسبوقة من yUSDT من إيداعات أولية صغيرة.

على الرغم من التحذيرات من المراقبين المتشائمين على وسائل التواصل الاجتماعي، فإن الطبيعة الثابتة للعقود الذكية جعلت مثل هذه الثغرات لا مفر منها بمجرد نشرها.

تضيف ثغرة خزنة Yearn TUSD إلى قائمة متزايدة من الهجمات التي تستهدف عقود DeFi القديمة وغير المحفوظة.

وقع مؤخرا حادث مماثل في شركة Ribbon Finance، المعروفة سابقا باسم Aevo، حيث سمح نشر قديم للمهاجمين بالتلاعب بعقود إدارة الوكلاء واستنزاف 2.7 مليون دولار.

يسلط كلا الحدثين الضوء على المخاطر المستمرة المرتبطة بالبروتوكولات القديمة التي تستمر في الاحتفاظ بأموال كبيرة على السلسلة لفترة طويلة بعد أن تم إغلاقها.

رد Yearn Finance

ردا على الحادث، أكد أحد أعضاء فريق Yearn تحت اسم storming0x أن العقود الحالية لا تزال آمنة.

طمأن الفريق المستخدمين بأن خزنة V1 TUSD القديمة فقط هي التي تأثرت وأكد أن النشرات الحديثة تدمج دروسا مستفادة من الثغرات السابقة.

ومع ذلك، يؤكد الهجوم أهمية التدقيق النشط وإلغاء العقود القديمة لمنع استغلال عيوب مماثلة في المستقبل.