YFI遭骇：Yearn Finance疑似遭闪电贷攻击 损失1100万美元

Yearn Finance开发者兼网站管理员banteg随后在推特解释了细节，其指出，骇客共获得280万美元，而Yearn Finance的v1 yDAI资金库则是损失1,100万美元。

banteg推文写道：

“DAI v1资金库漏洞受骇客利用，骇客获利280万美元，资金库损失1,100万美元。在我们调查期间，v1 DAI、TUSD、USDC、usdt资金库都将暂停存款。”

详细过程

虽然官方还未公布后续报告，但已有研究员整理出Yearn Finance是如何被骇的。

《The Block》研究员Igor Igamberdiev认为这是一次闪电贷(Flash loan)攻击：

“好的，又有新的DeFi攻击事件了。

这次的受害者是@iearnFinance。

骇客共套利51.3万枚DAI、170万usdt，还有余下的50.6枚3crv代币。为了获得这样的利润，骇客共执行11次交易”

闪电贷是只在一个区块交易中有效的贷款，如果借款人在交易结束前没有偿还这笔贷款，那么闪电贷款就是失败的，不会被执行。这是因为如果没有满足偿还条件，区块链不会执行这笔交易。而闪电贷的资产来自一个公共的智能合约资金池，目前较为知名且流行的是由Aave和dYdX提供的资金池。

Igor Igamberdiev在推特写下详细过程：

从dYdX闪电贷借出11.6万枚的ETH

从Aave闪电贷借出9.9万枚的ETH

将两笔资金抵押在借贷平台Compound，并借出1.34亿美元的USDC和1.29亿的DAI

将1.34亿美元的USDC和1.29亿的DAI存入3crv Curve资金池

从3crv Curve资金池拿出1.65亿美元的usdt

存入9,300万DAI至y DAI资金库

存入1.65亿美元至3crv Curve资金池

从y DAI资金库提款9,200 万美元的DAI

从3crv Curve资金池拿出1.65亿美元的usdt(6-9步骤重复5次)

归还Compound借款，取回抵押品

归还闪电贷借出的ETH

在上述过程中，骇客每次攻击时，都会获得大量地3 crv代币，用以换取大量的稳定币。

YFI暴跌

遭骇事件曝光后，也立即反映在币价上。据币安交易所数据，Yearn Finance的治理代币YFI在两小时内从最高34,985美元下跌至最低29,574美元，跌幅达15%。

目前YFI价格略有回升，截稿前报31,172 美元。