火星財経の報道によると、SlowMistの監視によれば、分散型金融プロトコルyearnがハッキング被害に遭い、約900万ドルの損失が発生しました。SlowMistセキュリティチームが本件を分析した結果、根本原因は以下の通り確認されました。脆弱性は、YearnのyETH加重ステーブルコインスワッププール（Weighted Stableswap Pool）コントラクト内で供給量を計算する_calc_supply関数のロジックに起因しています。この関数では、安全でない数学的演算が存在しており、計算過程でオーバーフローや丸め誤差を許容してしまうため、新しい供給量と仮想残高の積算に著しい偏差が生じます。攻撃者はこの不具合を利用し、流動性を特定の数値に操作して流動性プール（LP）トークンを過剰に鋳造し、不正に利益を得ることが可能です。類似プロトコルで同様のオーバーフローなど危険な脆弱性を防ぐため、境界値シナリオのテスト強化と、安全性が検証された算術演算メカニズムの採用が推奨されます。以前の報道によると、Yearnは声明で、yETHステーブルプールが11月30日21:11 UTCに攻撃を受けたと発表し、攻撃者がカスタムコントラクトを通じて大量のyETHを鋳造し、プール内の約800万ドル相当の資産が被害を受け、さらに約90万ドルの損失がCurve上のyETH-WETHプールから発生したと述べています。
