Yearn yDAI Vault Curve-Manipulation

Am 4. Februar 2021 erlitt Yearn Finances yDAI-Vault einen 11-Transaktions-Flash-Loan-Exploit. Der Vault verlor rund 11 Millionen Dollar; der Angreifer netto rund 2,8 Millionen Dollar Gewinn, wobei das meiste der Differenz in Slippage und Gas zerstört wurde. Tether fror 1,7 Mio. $ der gestohlenen USDT ein, was einen Teil des Verlusts abmilderte.

Was geschah

Yearns yDAI-Vault deployte Nutzer-DAI in Curves 3pool (DAI/USDC/USDT), um Yield zu verdienen. Die Einzahlungs- und Abhebungsoperationen des Vaults bepreisten in und aus dem 3pool basierend auf den aktuellen internen Wechselkursraten des Pools — Raten, die jeder mit genug Kapital vorübergehend verzerren konnte.

Der Angriff war eine ausgeklügelte 11-Transaktions-Sequenz:

1. Flash-borgte 116.000 ETH von dYdX und 99.000 ETH von Aave v2.
2. Nutzte das ETH als Sicherheit, um 134M USDC und 129M DAI von Compound zu borgen.
3. Hinterlegte große Mengen in Curves 3pool, um die DAI-Wechselkursrate innerhalb des Pools zu manipulieren.
4. Löste Yearns yDAI-Vault aus, in das/aus dem 3pool zu den manipulierten, ungünstigen Raten ein-/auszuzahlen.
5. Jeder Zyklus extrahierte eine Scheibe Vault-Wert durch die Raten-Unbalance.
6. Zahlte alle Flash Loans zurück und verschwand mit 513.000 DAI + 1,7 Mio. $ USDT + CRV-Tokens ≈ 2,8 Mio. $ netto.

Die verbleibenden ~8 Mio. $ des 11-Mio.-$-Vault-Verlusts wurden vom Angreifer nicht erfasst — sie wurden in 3pool-Slippage und den Kosten der Manipulation selbst zerstört, eine wiederkehrende Eigenschaft von Flash-Loan-finanzierten Orakel-Angriffen, bei denen der Gesamtverlust des Protokolls den Take des Angreifers übersteigt.

Nachwirkungen

• Yearn patchte die Vault-Strategie innerhalb von Stunden, um die exploitable Manipulationsoberfläche zu reduzieren.
• Tether fror 1,7 Mio. $ USDT ein, die der Angreifer extrahiert hatte, und holte sie für betroffene Nutzer zurück.
• Yearn verpflichtete sich, den Vault ganz zu machen durch Protokoll-Einnahmen und Treasury-Zuteilung.
• Die verbleibenden Erlöse des Angreifers wurden gewaschen.

Warum es zählt

Der Yearn-yDAI-Vorfall ist einer der gründenden Flash-Loan-Orakel-Manipulationsfälle der 2021er DeFi-Ära — früh genug, dass die strukturelle Lehre, die er lehrte, im Ökosystem noch gelernt wurde:

Jeder Vault, der Einzahlungen/Abhebungen gegen die instantane Wechselkursrate eines manipulierbaren Pools bepreist, ist von jedem ausnutzbar, der diesen Pool in derselben Transaktion bewegen kann.

Das Muster wiederholte sich 2021-2026 bei Harvest Finance, Cream Finance, Belt Finance und Dutzenden anderen. Die defensive Antwort — Preise aus zeitgewichteten Orakeln oder externen Feeds lesen, niemals aus der Spot-Rate eines Pools, den der Angreifer berühren kann — wurde nach genau diesen Vorfällen klar artikuliert.

Das Verhältnis 11 Mio. $ Verlust / 2,8 Mio. $ Angreifer-Gewinn ist auch lehrreich: Rund 75 % des wirtschaftlichen Schadens wurden zerstört, nicht gestohlen. Dies ist eine wiederkehrende Eigenschaft von Flash-Loan-Orakel-Angriffen und bedeutet, dass Schlagzeilen-„Gestohlene-Betrags"-Zahlen die tatsächlichen Protokoll-Kosten konsistent unterstellen.