Le protocole Yearn Finance traverse une nouvelle tempête. Une attaque sophistiquée a visé son token indexé yETH, permettant à un pirate de générer une quantité quasi infinie de jetons et de vider le pool en une seule transaction. Au moins 1 000 ETH, soit environ 3 millions de dollars, ont été immédiatement envoyés vers Tornado Cash, un protocole de mixage sanctionné par l’OFAC.

D’après les premières analyses on-chain, il s’agit d’un exploit ciblant des contrats intelligents récemment déployés, dont certains se sont autodétruits après l’attaque. Le pool yETH contenait environ 11 millions de dollars d’actifs de staking liquides avant l’incident.

📌 Ce que l’on sait sur la faille : un “super mint” fatal

Selon l’enquête préliminaire menée par des analystes tels que @Togbe0x, l’attaquant aurait utilisé une vulnérabilité permettant un mint illimité de yETH. En quelques secondes, le pool a été drainé sans aucune possibilité d’arrêt ou de rollback.

• Faille exploitée : minting illimité de yETH via un contrat récemment déployé.
• Montant siphonné : ~1 000 ETH confirmés.
• Flux du butin : transfert direct vers Tornado Cash.
• Perte potentielle totale : jusqu’à 11 millions de dollars selon l’état du pool.

Yearn a rapidement communiqué que les Vaults V2 et V3 ne sont pas touchés. L’incident concerne exclusivement le pool stableswap yETH.

📉 Un nouvel épisode dans l’historique compliqué de Yearn

Ce piratage rappelle les difficultés déjà rencontrées par Yearn :

• 2021 : faille sur le vault yDAI → perte de 11 millions de dollars.
• 2023 : script défectueux entraînant une perte interne de 63 % d’une position de trésorerie.
• 2022 : départ d’Andre Cronje, créateur emblématique du protocole.

Ce nouvel incident vient ainsi raviver les interrogations sur la sécurité du protocole, alors que la DeFi subit de plus en plus d’attaques ciblées contre les mécanismes de minting, de staking liquide et d’agrégation de trésorerie.

📡 L’enquête continue

Yearn indique que ses équipes de sécurité et les développeurs indépendants auditeurs travaillent activement pour comprendre la faille exacte. Les dépôts et retraits restent surveillés, et des mesures d’urgence ont été activées pour éviter un effet boule de neige sur d’autres produits.

Pour l’instant, aucune estimation officielle des pertes totales n’a été publiée. Mais la fuite d’1 000 ETH vers Tornado Cash suggère un incident majeur.

👉 🔍 DUC Mon Avis : Une attaque “classique DeFi”, mais un signal inquiétant pour les LST agrégés

Ce nouvel exploit rappelle une règle simple, mais que beaucoup oublient : plus un protocole DeFi est complexe, plus sa surface d’attaque explose.

Yearn a voulu faire un produit ultra-agrégateur pour les LST : un jeton qui regroupe stETH, rETH, cbETH et autres. Mais chaque couche d’abstraction crée un nouveau risque, un nouveau contrat, un nouveau chaînon faible. Ici, le maillon faible était très précisément un contrat déployé récemment… et pas parfaitement verrouillé.

Envoyer immédiatement les fonds à Tornado Cash, malgré les sanctions, montre aussi que les attaquants n’ont aucune inquiétude : les États régulent, sanctionnent, menacent… mais les failles DeFi continuent d’être exploitées par des acteurs qui jouent hors cadre.

Pour moi, cette attaque pose trois questions majeures :

• L’avenir des LST agrégés : vouloir empiler des couches d’ingénierie augmente mécaniquement les risques.
• La gouvernance de Yearn : après plusieurs incidents, la question des audits et du contrôle qualité se pose.
• Le risque systémique DeFi : un exploit sur un agrégateur LST peut avoir un impact sur tout l’écosystème de staking liquide.

Et comme toujours dans la DeFi : l’attaquant n’a besoin que d’une faille. Le protocole doit être parfait. Et aucun ne l’est.

Affaire à suivre de très près.

✍️ Article rédigé par DUC
📌Source : Etherscan – Togbe

🚀 Rejoignez-moi sur YouTube et Twitch pour plus de contenu exclusif !

📢Une communauté dynamique, préparez-vous à prendre des décisions informées dans cet univers passionnant ! Comprendre, Apprendre, Réussir…

• 👉 YouTube Actualités : DUC Bitcoin
• 👉 YouTube Trading : DUC-TRADING Stratégies
• 👉 Twitch : DUC Bitcoin Live

🔔 Abonnez-vous et activez les notifications pour ne manquer aucun contenu :

• Sur YouTube : Toutes les actualités Bitcoin. Un oeil sur tout le Web3
• Sur Twitch : Des lives interactifs, des Q&A, et des discussions en temps réel sur Bitcoin (politiques , techniques, minages etc) et les mouvements du marché des cryptomonnaies.

À bientôt, en live ou en vidéo, DUC