Ein Exploit auf yETH führte Ende November zu einem Schaden von rund 9 Millionen US‑Dollar. Die Yearn Finance yETH Sicherheitslücke 2025 betraf einen speziellen Stableswap‑Pool und ermöglichte das Minten fast unendlicher yETH‑Tokens. Yearn bestätigte den Vorfall und betonte: V2/V3‑Vaults sind nicht betroffen.

Was passiert ist: Yearn Finance yETH Sicherheitslücke 2025

Zeitleiste und Bestätigung

Am 30. November um 21:11 UTC kam es zu einem Vorfall rund um den yETH‑Stableswap‑Pool von Yearn Finance. Das Team bestätigte die Attacke öffentlich. Laut Yearn lag die Ursache in einem benutzerdefinierten Ableger eines populären Stableswap‑Codes. Andere Produkte des Protokolls seien davon unabhängig. Die Entwickler hoben hervor, dass Yearn V2/V3‑Vaults nicht gefährdet sind. Sicherheitsforscher von PeckShield bezifferten den Gesamtschaden auf etwa 9 Millionen US‑Dollar. Sie beschrieben den Kern des Exploits so: Angreifer konnten nahezu unendlich viele yETH‑Token minten. Damit leerten sie den Pool in einer einzigen Transaktion. Unmittelbar danach leitete der Täter etwa 1.000 ETH (rund 3 Millionen US‑Dollar) an den Mixer Tornado Cash weiter.

Technische Eckpunkte laut PeckShield

– Angreifer minteten eine sehr große Menge yETH. – Der betroffene Stableswap‑Pool wurde in einem Schlag geleert. – Rund 1.000 ETH flossen an Tornado Cash. – Das Yearn‑Team ordnete den Fehler einer speziellen Version gängigen Stableswap‑Codes zu, die nicht in anderen Produkten verwendet wird. Yearn bat um Geduld: Die erste Analyse deute auf eine Komplexität hin, die der jüngsten Balancer‑Attacke ähnelt. Es gebe aber keine Überschneidung zu Codebauteilen, die in anderen Yearn‑Produkten stecken.

Architektur und Abgrenzung der betroffenen Komponenten

Custom‑Stableswap statt Standard‑Baustein

Der Vorfall beschränkte sich auf einen spezifischen yETH‑Stableswap‑Pool. Nach Angaben des Teams handelte es sich um eine angepasste Implementierung bekannter Stableswap‑Logik. Diese Custom‑Variante war die Ursache des Fehlers. Yearn betonte, dass andere Produkte – insbesondere die V2/V3‑Vaults – nicht auf ähnlichem Code basieren.

Warum die Abgrenzung wichtig ist

Für Nutzer ist die genaue Eingrenzung zentral. Sie hilft zu verstehen, wo Risiken liegen und wo nicht. Das Team kommunizierte klar, dass die Verwahr‑ und Ertragsstrategien der V2/V3‑Vaults unberührt bleiben. Der Schaden traf primär den einen Pool. Nach vorläufigen Angaben entstanden dort etwa 8 Millionen US‑Dollar Verlust. Die Gesamtzahl von rund 9 Millionen geht auf die PeckShield‑Bewertung zurück.

Verluste und Marktreaktionen

Schadenshöhe im Überblick

– Gesamtschaden laut PeckShield: ungefähr 9 Millionen US‑Dollar – Vorläufige Teilzahl: etwa 8 Millionen US‑Dollar Verlust aus dem betroffenen Stableswap‑Pool – Abfluss an Tornado Cash: circa 1.000 ETH (rund 3 Millionen US‑Dollar) Die Zahlen zeigen eine dynamische Lage: Eine erste Aufstellung nennt den Pool‑Verlust, während die Gesamtsumme von 9 Millionen US‑Dollar das Gesamtbild des Angriffs widerspiegelt.

Reaktion des Marktes

Die Attacke drückte kurzfristig auf den YFI‑Kurs. Das Token sank um etwa 5,5 %. Zum Zeitpunkt der Berichterstattung lag der Preis um 3.900 US‑Dollar, bei einer Marktkapitalisierung von rund 132,6 Millionen US‑Dollar. Die TVL (Total Value Locked) von Yearn verringerte sich innerhalb eines Tages von etwa 432 auf 410 Millionen US‑Dollar. Im historischen Vergleich bleibt die Spanne groß: Im November 2021 erreichte Yearn laut Daten eine Spitze von rund 6,7 Milliarden US‑Dollar TVL. Die Kursbewegung und der TVL‑Rückgang zeigen, wie empfindlich Märkte auf Sicherheitsmeldungen reagieren. Anleger werten solche Ereignisse als Risiko, auch wenn der technische Schaden lokal begrenzt ist.

Einordnung: Muster und Komplexität der Attacke

Parallelen zur Balancer‑Attacke

Yearn sprach von einer ähnlich hohen Komplexität wie bei einem jüngsten Vorfall bei Balancer. Das heißt nicht, dass derselbe Fehler vorlag. Es deutet jedoch darauf hin, dass der Angriff mehrere Schritte umfasste, sorgfältig vorbereitet war und eine spezielle Logik im Custom‑Code traf. Für Nutzer heißt das: Nicht nur Off‑the‑Shelf‑Bausteine, sondern gerade individuell angepasste Teile verdienen besondere Aufmerksamkeit.

Rolle von Mixern

Der Weg von rund 1.000 ETH über Tornado Cash unterstreicht bekannte Muster in On‑Chain‑Angriffen. Täter versuchen, Spuren zu verschleiern und Gelder zu entkoppeln. Für Ermittler wird die Nachverfolgung schwieriger. Für betroffene Protokolle erschwert das die sofortige Rückführung von Mitteln.

Vergangene Zwischenfälle bei Yearn

2021: Angriff auf v1 yDAI‑Pool

Im Jahr 2021 entnahm ein Unbekannter rund 2,8 Millionen US‑Dollar aus dem v1 yDAI‑Pool. Yearn erstattete die Verluste an betroffene Nutzer. Dieser Schritt stärkte damals das Vertrauen, weil er die Handlungsfähigkeit des Teams zeigte. Gleichzeitig zeigte der Vorfall, dass selbst etablierte Protokolle nicht vor Schwachstellen gefeit sind.

Dezember 2023: Multisig‑Fehler

Ende 2023 kam es zu einem separaten, nicht böswilligen Vorfall. Eine fehlerhafte Transaktions‑Konfiguration in einer Multisig führte zu einem Verlust von etwa 1,4 Millionen US‑Dollar. Bei einem routinemäßigen Fee‑Tausch wurden 3.794.894 yCRV gegen 779.958 yvDAI getauscht. Der Vorgang betraf die Treasury und zeigt, wie auch Prozessfehler Schaden anrichten können.

Kontext im Markt: weitere Hacks

Im November 2025 machte der On‑Chain‑Forscher tanuki42 einen bislang nicht gemeldeten Hack bei DWF Labs in Höhe von 44 Millionen US‑Dollar öffentlich. Diese Meldung steht nicht in direktem Zusammenhang mit Yearn, belegt aber, dass Sicherheitsrisiken breit gestreut sind und viele Akteure treffen können.

Wie Nutzer jetzt sinnvoll reagieren

Ruhig bleiben und prüfen

Wer Yearn nutzt, sollte Kommunikationskanäle des Projekts verfolgen. Das Team liefert Updates zur Analyse des Vorfalls. Da Yearn V2/V3‑Vaults laut Team nicht betroffen sind, gilt es, Bestände zu prüfen und auf offizielle Hinweise zu reagieren. Überstürzte Schritte sind selten hilfreich, wenn die Lage noch ausgewertet wird.

Transparenz und eigene Notizen

Nutzer können sich eine einfache Checkliste anlegen: – Welche Pools nutze ich aktuell? – Gibt es eine direkte Verbindung zum betroffenen yETH‑Stableswap‑Pool? – Welche Mitteilungen hat Yearn zu meinem Produkt veröffentlicht? – Welche On‑Chain‑Bewegungen betreffen meine Position? Diese Fragen helfen, die persönliche Exponierung einzuschätzen. Sie beruhen auf öffentlich kommunizierten Fakten: Der Vorfall ist auf einen bestimmten Pool begrenzt, andere Produkte sind laut Team nicht betroffen.

Vorsicht bei Custom‑Code

Der Auslöser war eine maßgeblich angepasste Version eines bekannten Stableswap‑Codes. Das ist ein wichtiger Hinweis für die Zukunft: Individuelle Abwandlungen können neue Angriffsflächen eröffnen. Für Nutzer bedeutet es, bei Produkten mit stark angepasster Logik genauer hinzuschauen – insbesondere, wenn sie kurze Historien haben oder erst seit Kurzem im Einsatz sind.

Auswirkungen auf das Vertrauen in DeFi

Risiko bleibt, auch bei etablierten Marken

Yearn gehört zu den bekannteren DeFi‑Projekten. Trotzdem zeigen die Ereignisse, dass auch große Namen nicht immun gegen Fehler sind – weder gegen Exploits noch gegen menschliche oder prozessuale Patzer. Das Vertrauen in DeFi hängt deshalb von zwei Dingen ab: wie gut Projekte Risiken managen und wie transparent sie nach Vorfällen handeln.

Preis und TVL als Stimmungsbarometer

Der Rückgang von YFI um 5,5 % und die kurzfristige TVL‑Abnahme von rund 432 auf 410 Millionen US‑Dollar spiegeln die unmittelbare Vorsicht am Markt. Solche Bewegungen sind typische Reaktionen auf Sicherheitsmeldungen. Sie bedeuten nicht zwingend einen langfristigen Trend, geben aber Hinweise auf die kurzfristige Risikowahrnehmung.

Kommunikation des Teams und nächste Schritte

Analyse läuft, Fokus auf Abgrenzung

Yearn hat den Vorfall zügig benannt und den betroffenen Bereich abgegrenzt. Diese klare Kommunikation hilft Nutzern, ihre Positionen einzuordnen. Das Team sprach von einer komplexen Attacke und verwies auf die Andersartigkeit des verwendeten Codes gegenüber anderen Produkten. Damit liegt der Schwerpunkt auf der detaillierten Analyse genau dieses Pools.

Was Nutzer von Updates erwarten können

– Präzisere technische Details, sobald die Analyse abgeschlossen ist – Konkrete Hinweise, wie ähnliche Vorfälle verhindert werden sollen – Eventuelle Maßnahmen rund um den betroffenen Pool Bis diese Punkte vorliegen, bleibt die Lage vor allem analytisch. Nutzer sollten auf offizielle Kanäle achten, da dort die verlässlichen Informationen erscheinen.

Lehren für Protokolle und Ökosystem

Separierung und Code‑Hygiene

Der Fall macht deutlich, wie wichtig eine strikte Trennung von Komponenten ist. Wenn ein individueller Baustein fehlerhaft ist, hilft eine klare Abgrenzung, systemische Risiken zu begrenzen. Yearn betonte, dass andere Produkte nicht betroffen sind. Diese Architektur‑Disziplin wirkt wie ein Brandschutz.

Monitoring und Reaktionsfähigkeit

Schnelle Entdeckung, klare Ansprache, strukturierte Analyse: Das sind Grundpfeiler, um Schäden einzugrenzen und Vertrauen zu erhalten. Der Abfluss von 1.000 ETH in Richtung Tornado Cash zeigt, wie rasch Täter handeln. Umso wichtiger ist es, dass Projekte Sicherheitsmeldungen in Echtzeit auswerten und öffentlich kommunizieren.

Konkrete Fakten im Überblick

– Datum des Vorfalls: 30. November, 21:11 UTC – Betroffen: yETH‑Stableswap‑Pool mit Custom‑Code – Modus: Minten einer sehr großen Menge yETH, Pool‑Drain in einer Transaktion – Gesamtschaden: etwa 9 Millionen US‑Dollar (PeckShield) – Anteil am Pool: etwa 8 Millionen US‑Dollar (vorläufig) – Weiterleitung: rund 1.000 ETH an Tornado Cash (circa 3 Millionen US‑Dollar) – Nicht betroffen: Yearn V2/V3‑Vaults (laut Yearn) – Marktreaktion: YFI etwa −5,5 %, Kurs um 3.900 US‑Dollar; Marktkapitalisierung rund 132,6 Millionen US‑Dollar – TVL: Rückgang von circa 432 auf 410 Millionen US‑Dollar; Peak im November 2021 bei etwa 6,7 Milliarden US‑Dollar

Einordnung der Yearn Finance yETH Sicherheitslücke 2025 für Anleger

Kurzfristig

Kurzfristig stand die Absicherung und die genaue Eingrenzung im Fokus. Nutzer prüften, ob sie direkten Bezug zum betroffenen Pool haben. Der Markt preiste ein erhöhtes Risiko ein, was im YFI‑Rückgang sichtbar wurde.

Mittelfristig

Mittelfristig hängt viel von der detaillierten Analyse ab. Wichtig ist, welche Code‑Anpassungen erfolgen und welche Prozesse gestärkt werden. Entscheidend bleibt die klare Trennung zu anderen Produkten. Diese Abgrenzung war bereits in den ersten Mitteilungen ein zentraler Punkt.

Langfristig

Langfristig bleibt die Herausforderung dieselbe: Innovation ohne zu große Angriffsflächen. Individuelle Anpassungen können Mehrwert bringen, erhöhen aber die Komplexität. Für das gesamte DeFi‑Ökosystem bleibt transparente Kommunikation nach Sicherheitsvorfällen ein Schlüssel, um Vertrauen zu bewahren. Am Ende zählt ein nüchterner Blick auf die Fakten: Ein lokaler, aber kostspieliger Exploit traf einen Custom‑Stableswap‑Pool und führte zu einem Verlust von rund 9 Millionen US‑Dollar. Yearn bestätigte den Vorfall, betonte die Unabhängigkeit anderer Produkte und arbeitet an der Aufklärung. Die Yearn Finance yETH Sicherheitslücke 2025 ist damit eine Warnung und ein Lehrstück zugleich: Angepasster Code braucht besondere Aufmerksamkeit, klare Abgrenzung schützt den Rest des Systems, und schnelle, offene Kommunikation hilft Nutzern, überlegt zu handeln.

(Source: https://forklog.com/en/yearn-finance-defi-project-hacked-for-9-million/)

For more news: Click Here

FAQ