Yearn Finance: Una vulnerabilità nel contratto yETH consente a un hacker di sottrarre milioni
Tornano sempre, più inventivi, più tecnici. Gli hacker hanno appena colpito ancora una volta nella sfera crypto. Questa volta, la vittima è Yearn Finance. Risultato: 9 milioni di dollari svaniti. Dietro l’exploit, un bug di rara complessità nel contratto yETH. In superficie, uno swap semplice. In profondità, caos matematico. E, cosa peggiore, non si tratta di un caso isolato.
In breve
- Yearn Finance perde 9 milioni a causa di una falla in un contratto swap personalizzato.
- Il bug tecnico: una divisione omessa nel calcolo del prodotto del saldo virtuale.
- L’attaccante utilizza contratti temporanei per drenare asset e offuscare le tracce.
- È sufficiente una sola transazione per incassare il 100% della liquidità del pool yETH colpito.
Quando l’aritmetica esplode: un bug da milioni
Il 30 novembre, un utente è riuscito a creare 2,35 × 10³⁸ yETH grazie a una sottile falla nella funzione swap() dello smart contract. Questo contratto avrebbe dovuto mantenere una regola di equilibrio tra i token. Tranne che una divisione critica è stata omessa nella formula. Risultato: la variabile vb_prod è impazzita. Come un tachimetro bloccato in overdrive, ha ingannato il protocollo sul proprio stato di salute.
L’exploit è stato confermato da PeckShield, che ha avvertito in un tweet che quasi 9 milioni di dollari erano andati persi. Parte dei fondi — circa 3 milioni in ETH — è stata inviata tramite Tornado Cash, un famoso mixer crypto utilizzato per oscurare le tracce. Il resto giace ancora sull’indirizzo dell’hacker.
La gravità del bug non è una semplice svista. Come ha spiegato Ilia.eth su X:
L’exploit di oggi del pool $yETH non è stato un attacco di tipo flash loan sui prezzi, ma piuttosto un collasso strutturale della contabilità interna dell’AMM. Ecco un’analisi tecnica che mostra come una semplice divisione omessa abbia portato al drenaggio completo del protocollo.
Questa falla ricorda dolorosamente il precedente di Balancer, dove una cattiva gestione degli arrotondamenti ha causato un caos simile. Stessa causa, stesso effetto: creazione monetaria incontrollata seguita da un prelievo legittimo ma distruttivo.
Contratti helper per radere al suolo l’architettura di Yearn Finance
Non è solo il bug a impressionare. È l’ingegneria dell’attacco. In una sola transazione, l’hacker ha orchestrato tutto: deploy dei “contratti helper”, minting dei token, conversione in ETH, trasferimento dei fondi e autodistruzione dei contratti per cancellare le tracce.
Secondo Blockscout, ogni contratto helper ha eseguito una chiamata mirata alla funzione vulnerabile, poi ha inviato l’ETH a un wallet principale prima di sparire. Una strategia degna di un film di rapine, dove il ladro cancella le sue impronte digitali nello stesso secondo in cui agisce.
L’indirizzo chiave identificato da diversi analisti è: 0xa80d…c822, che attualmente detiene ancora circa 6 milioni in stETH, rETH e altri derivati Ethereum.
Su X, William Li offre ulteriori approfondimenti:
L’hacker in realtà non ha prelevato tutti gli yETH che ha creato, ne ha venduto solo una parte nel pool yETH-ETH per 1.000 ETH (circa 3 milioni di dollari) — che è molto meno del reale guadagno ottenuto (P2).
Più che un furto, si tratta quindi di una disintegrazione controllata del protocollo yETH. E dietro l’attacco, una profonda conoscenza matematica, unita a un talento di programmazione freddo e preciso.
Crypto e fiducia: quando il codice diventa il tallone d’Achille
Yearn Finance è tutt’altro che un progetto amatoriale. Eppure, la falla non è stata rilevata né dagli utenti né dagli audit. È qui che la questione diventa preoccupante per l’intero mercato crypto. Perché questo tipo di errore — una moltiplicazione al posto di una divisione — potrebbe esistere altrove, in agguato in altri protocolli.
La struttura del contratto yETH è un ibrido tra Curve e Balancer. Solo che invece di ricalcolare ogni transazione, memorizza uno stato intermedio (vb_prod) che dovrebbe essere aggiornato dopo ogni swap. Una pratica pericolosa, secondo Ilia.eth:
Memorizzare i risultati di prodotti complessi (vb_prod) per aggiornarli in modo incrementale è estremamente rischioso. Gli errori si accumulano e il minimo bug logico può restare attivo indefinitamente. Sarebbe meglio ricalcolare gli invarianti dai saldi correnti.
L’hack riaccende il dibattito: bisogna dare priorità al risparmio di gas o al rigore? Una cosa è certa: le conseguenze di un compromesso mal gestito ora ammontano a milioni. In Yearn, è tempo di rimobilitazione: SEAL911, ChainSecurity e un’indagine post-mortem sono già in prima linea.
5 fatti chiave sull’exploit di Yearn Finance
- 30 novembre 2025: data dell’hack;
- 9 milioni di dollari: perdite totali stimate;
- 2,35 × 10³⁸ yETH: token creati artificialmente;
- Transazione singola: l’intero attacco è avvenuto in un solo blocco;
- Contratti helper: deployati, utilizzati, poi autodistrutti.
Gli errori di calcolo nelle crypto non perdonano. E per una buona ragione: non sarebbe stato un altro audit a evitare la carneficina. Balancer, nonostante 11 audit di sicurezza, è stato anch’esso svuotato da un bug quasi gemello. Un semplice fattore di moltiplicazione può diventare un’arma di distruzione di massa quando la finanza diventa programmabile. I protocolli hanno memoria corta, ma le blockchain non dimenticano mai.
Esclusione di responsabilità: il contenuto di questo articolo riflette esclusivamente l’opinione dell’autore e non rappresenta in alcun modo la piattaforma. Questo articolo non deve essere utilizzato come riferimento per prendere decisioni di investimento.
Ti potrebbe interessare anche
Il rendimento dei titoli di stato USA a 10 anni si avvicina al 5,4%, l’aurea dell’AI non riesce a nascondere le preoccupazioni sul “sovrappeso” dell’S&P 500
Dietro il nuovo massimo storico dello S&P 500, solo il 30% dei titoli componenti si trova sopra la media mobile a 50 giorni, rappresentando la minore ampiezza di mercato mai registrata in un periodo di massimo storico dal 1990. Il Russell 2000 è sceso per cinque settimane consecutive, mentre i rendimenti delle obbligazioni high-yield sono saliti al 15%. Societe Generale avverte: se il rendimento dei Treasury americani raggiunge il 6% e il prezzo del petrolio sale a 150 dollari, lo S&P 500 potrebbe perdere oltre il 20% l’anno prossimo. Inoltre, alcuni gestori di fondi con buone prestazioni hanno liquidato completamente le posizioni nell’AI per investire nell’energia, affermando che il prosciugarsi dei finanziamenti segnerà la "fine del gioco".
Il costo del trasporto delle petroliere raggiunge il massimo degli ultimi sessant'anni: spedire una nave di petrolio dagli Stati Uniti alla Cina è più costoso che lanciare un razzo!
Il costo di trasporto per barile di petrolio è salito a 41 dollari, quasi la metà del prezzo del greggio; in alcune tratte il costo per singolo viaggio è stato sufficiente persino per acquistare una nuova petroliera. La crisi in Medio Oriente ha causato una carenza strutturale di capacità di trasporto nello Stretto di Hormuz e, insieme al trasferimento nave-a-nave che prolunga i tempi di rotazione, il costo di noleggio di un VLCC è aumentato drasticamente da una media annua di 9,2 milioni di dollari a 77 milioni di dollari, con un incremento superiore a 8 volte. I margini di profitto delle raffinerie sono rapidamente erosi e il prezzo medio delle petroliere di seconda mano ha raggiunto un massimo storico, superando raramente quello delle navi di nuova costruzione.
Seguendo il ribasso ma non il rialzo! L'argento è in difficoltà
La logica della domanda di AI e dell'energia solare continua a realizzarsi, ma i prezzi stanno scendendo controcorrente: le forze macroeconomiche del rafforzamento del dollaro e dell’aumento dei tassi d’interesse reali stanno completamente schiacciando i fondamentali. I fondi speculativi hanno venduto 1,6 miliardi di dollari in una sola settimana, il valore massimo dell'anno, e la posizione netta corta dei CTA è aumentata di 2,6 miliardi di dollari, raggiungendo il massimo annuale. Tuttavia, gli analisti di Goldman Sachs ritengono che queste posizioni short estreme stiano accumulando un potenziale di inversione; l'asimmetria è evidente e, se i venti contrari macroeconomici si attenuano, potrebbe scatenarsi facilmente un rimbalzo vendicativo: dopo una pulizia simile in passato, l’argento è salito del 15% in sei settimane.
Prezzi delle criptovalute
Altro
