Yearn Finance lanza ofensiva de recuperación tras sufrir vulnerabilidad de $9 millones
El protocolo de yield farming activa su maquinaria de respuesta tras un ataque que expuso las grietas en la automatización DeFi.
La respuesta inmediata
Los equipos técnicos de Yearn Finance pasaron a modo de contención minutos después de detectar la explotación. Activaron protocolos de emergencia, rastrearon transacciones en cadena y comenzaron la comunicación coordinada con exchanges y servicios de monitorización. La velocidad de reacción marca un nuevo estándar para incidentes de esta magnitud.
Anatomía de la explotación
El ataque aprovechó una vulnerabilidad en un contrato inteligente recientemente actualizado, desviando fondos mediante una serie de transacciones complejas. Los $9 millones desaparecieron en cuestión de minutos, demostrando que incluso los protocolos más auditados mantienen puntos ciegos operativos.
El camino hacia la recuperación
Yearn ya negocia con exchanges centralizados para congelar fondos identificados, colabora con firmas de análisis blockchain y evalúa opciones de compensación para usuarios afectados. El proceso involucra desde técnicas de análisis forense hasta presiones legales tradicionales—una mezcla híbrida que define la ciberseguridad moderna.
Las implicaciones para DeFi
Este incidente ocurre mientras los reguladores globales aumentan su escrutinio sobre las finanzas descentralizadas. Cada exploit de millones proporciona munición para quienes argumentan que la automatización financiera necesita supervisión—porque aparentemente, hasta los robots necesitan un supervisor humano que revise su trabajo.
La carrera por recuperar los $9 millones no es solo sobre fondos, sino sobre credibilidad. Yearn Finance intenta demostrar que los protocolos DeFi pueden fallar con gracia y recuperarse con determinación, aunque algunos usuarios podrían preferir que simplemente no fallaran.
Yearn Finance recupera $2,39 millones en un esfuerzo coordinado
El protocolo anunció la recuperación de 857,49 pxETH, valorados en 2,39 millones de dólares, mediante una operación conjunta con los equipos de Plume y Dinero. Yearn Finance declaró que el proceso de recuperación sigue en curso y que cualquier otro activo recuperado se devolverá a los depositantes afectados.
La operación de recuperación se produce pocos días después del ataque inicial. Una sala de operaciones con SEAL911 y el socio de auditoría ChainSecurity permanece activa mientras continúa la investigación post mortem. La respuesta de seguridad consiste en tracel movimiento de los activos robados y trabajar para prevenir más pérdidas.
Actualización de yETH: Con la ayuda de los equipos de Plume y Dinero, se realizó una recuperación coordinada de 857,49 pxETH (2,39 millones de dólares). Las labores de recuperación siguen activas y en curso. Los activos recuperados con éxito se devolverán a los depositantes afectados. https://t.co/xaClNhd0C0
— yearn (@yearnfi) 1 de diciembre de 2025
El desglose del exploit de 9 millones de dólares
En conjunto, ambos pools perdieron alrededor de 9 millones de dólares. El mayor impacto lo sufrió el pool de intercambio estable afectado, que perdió unos 8 millones de dólares. Curve también sufrió pérdidas, ya que el intercambio estable de yETH-WETH perdió otros 900.000 dólares.
El atacante aprovechó una vulnerabilidad que le permitió acuñar una gran cantidad de tokens yETH. Según un análisis preliminar de Yearn Finance, el hacker acuñó alrededor de 235 billones de yETH sin proporcionar las garantías necesarias.
Al usar el saldo de tokens inflado, el atacante pudo intercambiar yETH sin respaldo por activos de staking líquidos legítimos como stETH, rETH y cbETH del pool de stableswap y Wrapped Ethereum del pool de Curve.
Vulnerabilidad de grupo heredado expuesta
Estetracera una versión personalizada de uno de los códigos populares de intercambio estable y eradent del resto de los productos de Yearn Finance. El protocolo recalcó que ningún otro producto de Yearn utiliza un código similar al que se vio comprometido en el ataque.
La vulnerabilidad involucraba untracantiguo y heredado relacionado con el token YETH. Esto permitía al atacante acuñar nuevos tokens sin el respaldo colateral necesario, creando tokens de la nada.
Yearn Finance explicó que el análisis inicial sitúa este ataque en un nivel de complejidad similar al reciente exploit de Balancer . El pool de intercambio estable de yETH no estaba conectado a la infraestructura principal de bóveda de Yearn V2 y V3, lo que ayudó a aislar el ataque y, por lo tanto, a evitar que se propagara a sus productos principales.
El atacante blanquea fondos a través de un mezclador
A las pocas horas del exploit, el atacante comenzó a transferir activos robados para ocultar su rastro. Aproximadamente 1000 ETH, con un valor aproximado de 3 millones de dólares, se transfirieron posteriormente al servicio de mezcla de criptomonedas Tornado Cash.
Al 1 de diciembre, aproximadamente 6 millones de dólares de fondos robados permanecían en la billetera del atacante, 0xa80d.c822. Los fondos restantes se componían principalmente de derivados de ETH en staking que aún no habían sido blanqueados.
El equipo de Yearn Finance emitió declaraciones claras indicando que los productos principales de sus bóvedas no eran susceptibles al exploit. Las bóvedas V2 y V3 se encuentran en untracinteligente independiente, con una base de código diferente a la del grupo heredado afectado.
Los usuarios que tenían fondos en las bóvedas de Yearn V2 y V3 no tuvieron que hacer nada. El protocolo explicó que eldent ocurrido el 30 de noviembre afectó únicamente a los depositantes del pool de intercambio estable de YETH.
dentde seguridad criptográfica de noviembre
El hackeo de Yearn Finance cerró un mes difícil para la seguridad de las criptomonedas. En noviembre de 2025, se registraron pérdidas de casi 200 millones de dólares en múltiples plataformas y protocolos de alto perfil.
dent del mes fue una vulnerabilidad de seguridad de Balancer que costó $134 millones, causada por un error de redondeo en la lógica de un contrato inteligente trac La plataforma de intercambio surcoreana Upbit sufrió una vulnerabilidad de billetera caliente que resultó en pérdidas de entre $30 y $38 millones.
Otrosdentde noviembre incluyeron una adquisición detracinteligente por $3,1 millones en GANA Payment y aproximadamente $5 millones en pérdidas en Hyperliquid por manipulación de precios.
Si estás leyendo esto, ya estás al tanto. Sigue leyendo nuestro boletín .
