【慢雾：yearn遭遇攻击的根本原因是Yearn yETH加权稳定币交换池合约存在不安全的数学运算】金色财经报道，据SlowMist监测，12 月 1 日，去中心化金融协议yearn遭遇黑客攻击，造成约900万美元损失。慢雾安全团队对该事件进行了分析，确认根本原因如下：
漏洞源于Yearn yETH加权稳定币交换池（Weighted Stableswap Pool）合约中用于计算供应量的_calc_supply函数逻辑。由于存在不安全的数学运算，该函数在计算过程中允许溢出和舍入误差，导致新供应量与虚拟余额的乘积计算出现显著偏差。攻击者利用此缺陷可将流动性操控至特定数值，并超额铸造流动性池（LP）代币，从而非法获利。
建议加强边界场景测试，并采用经过安全验证的算术运算机制，以防范同类协议中此类溢出等高危漏洞。

原文链接：https://x.com/SlowMist_Team/status/1996771017310834869

声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。