Een fout-multisig-script had tot gevolg dat een groot deel van de schatkist van het Yearn-protocol werd leeggemaakt, waarbij de getroffen tokens “strikt protocol-eigen liquiditeit” waren.

Het DeFi-protocol Yearn Finance verloor een groot deel van de tokens uit de schatkist tijdens een fout die optrad bij het converteren van yVault LP-yCurve tokens in stablecoins op CowSwap. 

In een GitHub post op 11 december merkte Yearn-medewerker dudesahn op dat een regulier tokenconversieproces namens Yearn's schatkist verkeerd was gegaan vanwege een defect multisig-script.

Het script zorgde ervoor dat Yearn's volledige schatkistsaldo van 3,794,894 lp-yCRVv2-tokens werd geruild voor 779,958 yvDAI-tokens. Het script dat door de handelsmultisig werd gebruikt om tokens te ruilen, ontbrak voldoende uitvoercontroles en bevatte een logische fout die de handelsomvang tot een redelijk bedrag zou hebben beperkt.

Aangezien het aantal tokens een groot deel van de Curve-pool uitmaakte, liep het aanzienlijke vertraging op, waarbij ongeveer 63% van de waarde van de liquidity provider (LP) verloren ging.

Web3-beveiligingsbedrijf De.Fi merkte op dat het totale bedrag dat verloren ging bij het incident op het moment van schrijven 1.4 miljoen dollar bedroeg – iets dat Yearn ook bevestigd naar Het blok in een verklaring kort daarna,

🚨 $ 1.4 miljoen weggevaagd 🚨

Yearn Finance verklaarde dat hun schatkistfonds ongeveer $ 1.4 miljoen verloor als gevolg van een foutief script

Later beweerde hun team dat alleen hun LP-positie werd beïnvloed en dat er geen geld van de gebruiker was aangevallen pic.twitter.com/4FNXN8DAYp

— De.Fi Antivirus Web3 🛡️ (@DeDotFiSecurity) 13 december 2023

Yearn merkte op dat er geen gebruikersgelden in gevaar waren gebracht, en dat de getroffen tokens “strikt protocol-eigen liquiditeit” waren die tot de schatkist van Yearn behoorden. 

Sommige arbitragehandelaren die de ontsporing opmerkten, gingen snel over tot het bemachtigen van de tokens en profiteerden van het prijsverschil.

"Gezien het feit dat deze tokens cruciaal zijn voor de yCRV-liquiditeit van Yearn, vragen we iedereen die deze fout op winstgevende wijze heeft begaan, een bedrag terug te geven dat volgens hen redelijk is voor de belangrijkste multisig van Yearn", schreef het Yearn-team.