Yearn Finance 的 yETH 合約發生重大安全漏洞，駭客將 300 萬枚 ETH 傳送至 Tornado Cash

yETH 漏洞事件綜述

Yearn Finance 作為知名去中心化金融（DeFi）協議，其 yETH 產品近期爆發重大安全漏洞。本次事件出現了無限鑄造漏洞，駭客得以透過單一交易抽空 yETH 資金池。這種高度複雜的攻擊手法再次揭示 DeFi 生態系統的安全隱患，並使智能合約漏洞問題受到高度關注。

yETH 屬於創新的 流動質押產品，是一種指數型代幣，聚合多種以太坊（ETH）流動質押版本。yETH 由各類 以太坊流動質押衍生品（LSDs）組成，讓用戶能分散多種質押協議的風險。這類「籃子」策略旨在降低風險並維持質押資產的流動性。

Yearn Finance 於第一時間透過官方管道證實事件，並向用戶保證其核心 V2 及 V3 金庫未受影響，整體系統安全穩定。此聲明至關重要，因為相關金庫承載大量用戶資產，是協議的核心產品。漏洞僅限影響 yETH 產品，有效阻止更大範圍的生態風險擴散。

區塊鏈分析顯示，駭客透過鑄造漏洞大量生成 yETH 代幣，並有系統地從為 yETH 交易提供流動性的 Balancer 池中提取數百萬美元資金。攻擊手法精準高效，展現高度技術實力及周密部署。

財務損失相當嚴重，駭客總共竊取約 1000 枚 ETH，案發時價值約 300 萬美元。為了掩飾資金流向，駭客利用 Tornado Cash 進行混幣處理，此服務可斷開鏈上地址間的直接連結，提升交易隱私。此方式被駭客廣泛用於規避追查與執法打擊。

本次漏洞由區塊鏈安全研究員 Togbe 首度發現，其識別出涉及多種流動質押代幣（LSTs）的大額異常交易。受影響協議包括 Yearn、Rocket Pool、Origin 及 Dinero，顯示攻擊團隊針對整個流動質押生態系展開協同攻擊。雖然預警提升了社群警覺，但仍無法阻止事件發生。

yETH 事件讓 DeFi 安全性成為焦點

本次攻擊技術層面極為複雜，駭客針對智能合約設計漏洞發動攻擊。事件涉及多個專為本次攻擊新部署的智能合約，這些合約在執行惡意交易後立即自毀，消除鏈上直接證據，嚴重干擾後續取證。合約自毀是駭客常見的隱匿手法之一，大幅增加調查難度。

具體財務損失仍在調查中，初步評估顯示 yETH 資金池於遭攻擊前總價值約 1100 萬美元。資金池總額與被盜 300 萬美元間的差距，顯示部分資產未全數被提取，或部分資金仍受協議機制鎖定。完整損失清點需對相關智能合約及流動性池進行全面審查。

DeFi 社群對此次漏洞反應各異，反映業界對安全措施的持續爭議。部分成員憂心 Yearn Finance 仍採用舊版智能合約架構，質疑其安全升級是否到位，也有意見認為即使經過審計的程式碼仍難避免後續未知風險。

Yearn Finance 並非首次遭遇安全事件。2021 年，協議 yDAI 金庫曾遭駭客攻擊，損失 1100 萬美元，駭客於漏洞修復前提取約 280 萬美元。安全事件頻傳使外界對協議審計及漏洞管理能力產生疑慮。

此外，Yearn Finance 於 2023 年 12 月因腳本錯誤導致金庫資產有 63% 意外歸零。雖非惡意攻擊，但同時顯示外部駭客及內部操作失誤均可能造成重大損失。多起事故促使業界呼籲加強測試、形式化驗證智能合約，並完善安全監控機制。

yETH 漏洞事件突顯 DeFi 行業面臨的更廣泛挑戰。隨著協議複雜度及互操作性升高，攻擊面持續擴大，潛在風險不斷增加。流動質押衍生品雖提升功能性，但也增加智能合約互動層級，每個集成點及可組合特性都有可能成為新漏洞，亟需高度重視安全分析。

駭客利用 Tornado Cash 也反映加密貨幣產業在監管與執法上的挑戰。混幣服務雖有合法隱私需求，但也常被不法分子利用於洗錢，這種雙重屬性加劇了隱私保護與反洗錢監管的矛盾。

未來，事件提醒 DeFi 開發團隊務必高度重視安全。協議應優先進行全面安全審計，設立漏洞獎金機制鼓勵白帽駭客發現問題，並具備快速因應新威脅的能力。DeFi 社群也需加強安全教育，引導用戶認識風險，理性配置資產。

yETH 失竊事件證明，即使是成熟且用戶基礎龐大的協議，也難以完全防範高階攻擊。隨著 DeFi 生態持續擴展，產業必須建立更完善的安全體系，強化事件回應協作，提升安全透明度，重建用戶信任，確保去中心化金融長期健康發展。

常見問題

Yearn Finance yETH 失竊事件有哪些具體細節？

11 月 30 日，Yearn Finance 的 yETH 金庫遭駭客攻擊，約 1000 枚 ETH 被竊（價值約 300 萬美元）。駭客隨後將 ETH 轉入 Tornado Cash 混幣服務。

本次攻擊失竊資金規模是多少？用戶資產是否安全？

本次攻擊共造成約 300 萬美元 ETH 損失。用戶資產仍屬安全，協議具備完善的安全防護與保險機制，可妥善保障存款人資金。

為何駭客將失竊 ETH 轉入 Tornado Cash？

駭客利用 Tornado Cash 進行混幣及混淆，切斷交易路徑，大幅提升追蹤難度，以保護身份並阻礙資金追回。

yETH 是什麼？與一般 ETH 有哪些不同？

yETH 是錨定 ETH 的 ERC-20 代幣，實現跨鏈應用並維持 1:1 價值。與原生 ETH 不同，yETH 可跨鏈轉移並整合至多種 DeFi 協議。

本次安全事件對 Yearn Finance 及 DeFi 生態有何影響？

事件直接造成 Yearn Finance 資產損失與聲譽受損，也使 DeFi 生態對協議安全及智能合約漏洞更加警覺，可能影響用戶對收益耕種平台的信心。

用戶如何保障自己在 DeFi 協議中的資金安全？應採取哪些措施？

建議用戶選擇安全錢包，妥善保存私鑰，啟用兩步驟驗證，查閱合約審計報告，分批小額操作，定期檢查帳戶，並分散投資於多個協議。

Yearn Finance 針對此次失竊事件的應對方案及賠償計畫為何？

Yearn Finance 已宣布補償方案，將對受損用戶進行賠償。協議正積極透過區塊鏈分析及與執法單位合作，追回失竊資金，相關賠償細節將於後續公布。