Yearn Finance, 900만달러 규모 yETH 해킹 사고 경위 공개…자산 일부 회수

디파이 플랫폼 Yearn Finance는 지난 11월 30일 발생한 yETH 해킹 사건의 상세 보고서를 발표하고, 자산 일부를 회수했다고 밝혔다. 발표에 따르면, 이번 해킹은 yETH의 스테이블스왑 유동성 풀에 존재하던 세 단계 수치 오류로 인해 발생했다. 이 오류를 악용한 공격자는 무제한으로 LP 토큰을 발행하는 방식으로 총 약 900만달러 상당의 자산을 탈취했다. Yearn은 Plume, Dinero 팀과 협력해 857.49개 pxETH를 회수했으며, 이는 전체 피해 자산의 약 4분의 1 수준이다. 해당 자산은 yETH 예치자들에게 비율에 따라 분배할 계획이다.

Yearn은 공격자가 정교한 명령 시퀀스를 통해 내부 파서를 비정상 상태로 유도한 뒤 산술 계산 오류를 일으켜 해킹을 실행했다고 밝혔다. 주요 타깃은 다양한 LST(유동성 스테이킹 토큰)를 포함한 커스텀 스테이블스왑 풀과 yETH/WETH Curve 풀이었다. Yearn 측은 v2 및 v3 금고(vault)와 기타 서비스는 피해를 입지 않았다고 설명했다.

Yearn은 후속 조치로, 파서에 대한 명시적 도메인 검사, 중요 연산에 안전한 산술 연산 도입, 풀 출시 이후 부트스트랩 로직 비활성화 등의 개선방안을 발표했다.