Yearn Finance sofre ataque e perde US$ 9 milhões após falha em contrato do yETH

O protocolo de finanças descentralizadas (DeFi) Yearn Finance confirmou, neste domingo (30), uma violação de segurança que resultou em prejuízo aproximado de US$ 9 milhões. O ataque explorou uma falha em um contrato legado ligado ao yETH, token usado dentro do ecossistema da Yearn.

Segundo as primeiras informações, os invasores conseguiram criar tokens yETH de forma ilimitada, sem fornecer garantias reais, o que permitiu drenar a liquidez de pools associados ao ativo.

Como o ataque aconteceu

A empresa de segurança PeckShield foi a primeira a identificar a movimentação suspeita. Em seguida, a Yearn Finance confirmou que o incidente atingiu apenas pools de liquidez externos aos cofres principais, que continuam protegidos.

De acordo com a análise inicial, os hackers exploraram uma vulnerabilidade crítica no contrato personalizado do yETH, permitindo a criação infinita de tokens. A partir daí, eles drenaram cerca de US$ 8 milhões do pool principal e outros US$ 900 mil em tokens yETH.

Além disso, parte do ataque também afetou pools da Curve, plataforma que já havia sido alvo de ataques semelhantes.

Destino dos fundos roubados

Depois de emitir os tokens falsos, os invasores iniciaram a retirada de liquidez. Em seguida, eles lavaram mais de US$ 3 milhões em ETH usando o mixer Tornado Cash.
O restante — cerca de US$ 6 milhões em diversos ativos ligados a derivativos de staking de Ethereum — permanece em endereços rastreados pela comunidade on-chain.

Vulnerabilidade lembra ataque recente ao Balancer

A violação no Yearn ocorre menos de um mês após o ataque à DEX Balancer, que perdeu US$ 128 milhões em 3 de novembro. Na ocasião, o problema estava ligado a erros de precisão em cálculos de ponto fixo usados nos Composable Stable Pools (CSPs).

Especialistas acreditam que o ataque contra o Yearn seguiu uma lógica semelhante: pequenas discrepâncias de preço geradas durante trocas sucessivas, especialmente quando executadas em lote.

A empresa de segurança SlowMist reforçou essa hipótese ao apontar que a falha pode ter permitido inconsistências recorrentes, abrindo caminho para manipulação dos valores internos dos pools.

Resposta da Yearn e próximos passos

Após confirmar o incidente, o Yearn Finance anunciou parceria com a Security Alliance (SEAL) para investigar a origem exata da falha. Segundo o protocolo, o relatório completo será divulgado ao público assim que as análises forem concluídas.

Os usuários afetados foram orientados a abrir chamados no Discord oficial do projeto para receber instruções específicas.

Contexto maior: onda de ataques em DeFi

O incidente acontece em um momento de aumento nas explorações que atingem projetos de finanças descentralizadas. Recentemente, a exchange sul-coreana Upbit sofreu uma violação que resultou em US$ 50 milhões em perdas relacionadas ao Ethereum.

Esse conjunto de ataques reacende o debate sobre risco estrutural em contratos inteligentes, principalmente em protocolos que acumulam contratos legados ou integrações com terceiros.

O que a Yearn apontou como causa

Nos dias seguintes ao ataque, a Yearn detalhou o episódio no relatório de incidente publicado pela Yearn. O alvo foi o pool de stableswap ponderado do yETH na rede Ethereum, um produto antigo que reunia tokens de staking líquido de ether (como apxETH, sfrxETH, wstETH, cbETH e rETH). A exploração aconteceu em 30 de novembro de 2025.

O documento lista uma combinação de falhas, e não um erro isolado:

• instabilidade numérica no algoritmo que calcula o equilíbrio do pool, que permitia zerar um termo interno do cálculo;
• tratamento diferente desse termo entre as funções de depósito e de saque;
• liquidez do próprio protocolo que permitia levar o pool a um estado de oferta zero;
• um caminho de inicialização que podia ser executado de novo em produção;
• uso de subtração sem checagem, que transformou um erro matemático em emissão praticamente infinita de tokens, em vez de simplesmente reverter a transação.

Na prática, o invasor conseguiu cunhar uma quantidade astronômica de tokens de liquidez do yETH e trocá-los pelos ativos reais depositados no pool, que é o mecanismo descrito no início deste texto.

Recuperação parcial e o que muda para quem tinha yETH

Segundo a Yearn, em 1º de dezembro de 2025 foi possível recuperar 857,49 pxETH, em ação coordenada com as equipes da Plume e da Dinero. Esse valor será redistribuído aos depositantes afetados, de forma proporcional aos saldos de antes do ataque.

Há um ponto que pesa para o investidor: o yETH funciona sob governança própria, e o relatório lembra que, pela regra de uso por conta e risco do produto (YIP-72), colaboradores e governança não são obrigados a reembolsar as perdas. Em outras palavras, não existe garantia de ressarcimento integral.

A Yearn reforçou que os cofres v2 e v3 e os demais produtos não foram afetados. O impacto ficou restrito ao yETH e às integrações diretas com ele, como o pool yETH/WETH na Curve.

Por que contratos legados são o elo fraco em DeFi

O caso segue um padrão que se repetiu em 2025. Na Balancer, o problema estava em arredondamentos nos Composable Stable Pools; no yETH, em um solucionador numérico de um pool antigo. Nos dois casos, o código tinha anos de uso e parecia seguro, até que alguém encontrou uma sequência de operações que ninguém tinha testado.

Para quem aplica em cofres de rendimento, a pergunta útil não é apenas qual é a taxa, mas quais contratos o dinheiro atravessa. Produtos que dependem de vários tokens de staking líquido, de pools externos e de lógica matemática própria somam riscos de cada camada.

O que o investidor brasileiro deve observar

Protocolos DeFi como a Yearn não são prestadoras de serviços de ativos virtuais autorizadas pelo Banco Central, e as regras de segregação patrimonial e de responsabilidade previstas para exchanges e custodiantes no Brasil não se aplicam a eles. Se um contrato for explorado, o caminho de recuperação depende da boa vontade da governança do protocolo e do sucesso na recuperação on-chain.

Do lado fiscal, a Receita Federal exige que o contribuinte guarde documentação que comprove a autenticidade das operações de aquisição e de alienação. Em um caso como este, isso inclui os registros das transações, os endereços envolvidos e os comunicados oficiais do protocolo. Quem opera fora de exchanges também precisa lembrar que, acima de R$ 35 mil em operações no mês, há obrigação de informar as movimentações à Receita pela DeCripto (IN RFB 2.291/2025). O guia sobre riscos de investir em criptomoedas ajuda a mapear esse tipo de exposição antes de aplicar.

Perguntas frequentes

Quem tinha dinheiro nos cofres v2 e v3 da Yearn foi afetado?

Não. Segundo a Yearn, o ataque ficou restrito ao produto yETH e às integrações diretas com ele. Os cofres v2 e v3 e os demais produtos do protocolo não foram atingidos.

Os depositantes do yETH serão reembolsados?

Apenas em parte. A Yearn recuperou 857,49 pxETH e vai distribuir esse valor proporcionalmente aos saldos de antes do ataque. Pela regra de uso por conta e risco do yETH, não há obrigação de reembolso integral.

Qual foi a falha explorada no yETH?

Uma combinação de erros no cálculo interno do pool de stableswap, incluindo instabilidade numérica e uma subtração sem checagem, que permitiu ao invasor emitir tokens de liquidez quase sem limite e trocá-los pelos ativos reais do pool.

---