شهد قطاع التمويل اللامركزي (DeFi) عملية اختراق خطيرة استهدفت مجمع yETH التابع لبروتوكول Yearn Finance، مما أدى إلى سرقة ما يقرب من 9 ملايين دولار في 30 نوفمبر 2025.
نفذ المهاجم استغلالاً متطورًا للغاية، حيث قام بسك كمية هائلة من رموز yETH بلغت 235 سكستليون، مقابل إيداع 16 wei فقط، وهي كمية تعادل أقل من جزء من السنت.
يسلط هذا الحادث الضوء على هشاشة الثوابت الرياضية المعقدة في العقود الذكية، حيث يمكن لاستراتيجيات تحسين الغاز أن تؤدي عن غير قصد إلى عيوب أمنية كارثية.
كانت الثغرة الأساسية تكمن في آلية المحاسبة الداخلية للبروتوكول، وتحديداً في استخدامه لمتغيرات التخزين المخزنة مؤقتاً المعروفة باسم packed_vbs.
تم تصميم هذه المتغيرات لتقليل تكاليف المعاملات عن طريق تخزين معلومات الرصيد الافتراضية، ولكنها فشلت في إعادة الضبط بشكل صحيح عندما انخفض إمداد السيولة في المجمع إلى الصفر.
بينما تمت إعادة تعيين عداد العرض الرئيسي، احتفظت القيم المخزنة مؤقتاً بأرصدة وهمية من المعاملات السابقة، مما خلق تفاوتاً حرجاً بين الحالة الفعلية للمجمع وحالته المسجلة.
آليات تسميم الحالة واستغلال Yearn Finance
لاحظ محللو الأمن من Clarify أن سلوك البرمجيات الخبيثة لم يكن مجرد خطأ في البرمجة، بل كان خللاً منطقياً في إدارة الحالة.
من خلال التلاعب بالتفاعل بين وظائف الإيداع والسحب، خدع المهاجم النظام للاعتقاد بأن المجمع يحتوي على قيمة هائلة عندما كان فارغاً فعلياً.
يمثل هذا الاستغلال أحد أكثر الهجمات كفاءة من حيث رأس المال في التاريخ، حيث تطلب رأسمالاً أولياً ضئيلاً لسحب ملايين الدولارات من الأصول القائمة على الإيثيريوم.
تطور الهجوم من خلال عملية دقيقة لتسميم الحالة، مستغلاً فشل البروتوكول في مسح ذاكرته المخبأة.
بدأ المهاجم أكثر من عشر دورات من الإيداع والسحب باستخدام أموال مقترضة عبر القروض الفلاشية، تاركاً عن عمد قيماً متبقية طفيفة في خانات التخزين packed_vbs.
هذا الإجراء المتكرر سمم التخزين ببيانات متراكمة استمرت حتى بعد أن سحب المهاجم جميع السيولة المشروعة، مما أدى إلى وصول إجمالي المعروض في المجمع إلى الصفر.
الأهم من ذلك، أن وظيفة add_liquidity في البروتوكول احتوت على افتراض قاتل: افترضت أن العرض الصفري يعني مجمعاً نظيفاً وفارغاً.
عندما قام المهاجم بإيداع دفعة الـ 16 wei النهائية، قرأ النظام القيم القديمة وغير الصفرية من الذاكرة المخبأة المسمومة بدلاً من الحساب بناءً على الإيداع الجديد.
أدى هذا الخطأ في الحساب إلى سك سبتيليونات من رموز LP، مما منح المهاجم سيطرة مطلقة على أصول المجمع، والتي تم تداولها لاحقًا للحصول على WETH وغسلها عبر Tornado Cash.
تعتبر هذه القضية تذكيراً صارخاً بأن أنظمة التمويل اللامركزي المعقدة تتطلب إدارة صريحة للحالة لمنع مثل هذه الاستغلالات عالية القيمة.