兩級反轉？駭客攻擊 yDAI 保險庫後，Curve 坐收漁翁之利。
北京時間 2 月 5 日，Yearn Finance 發推文表示 v1 yDAI 保險庫遭到攻擊。
Yearn Finance 核心開發者 @banteg 表示：“保險庫被利用，攻擊者獲得 280 萬美元，保險庫損失 1100 萬美元。在我們調查期間，v1 DAI、TUSD、USDC、USDT 保險庫的策略存款將禁用。”
PeckShield （派盾）透過追蹤和分析發現，此次攻擊與此前安全研究員 Wen-Ding Li （李文鼎）所披露的在 Yearn.finance 的 TUSD Vault 上發生的快速貸款攻擊漏洞相似。
首先，攻擊者從 dYdX 和 AaveV2 借出閃電貸；
隨後，攻擊者利用所藉資產透過對 3pool 的存取操作導致其中代幣不平衡；
接下來，攻擊者將 DAI 存放至 yDAI 保險庫中，觸發繼續投資到受影響的策略投資中，惡化了 3pool 中不平衡交易的狀態，攻擊者立即從惡化的不平衡狀態中獲利；
攻擊者重複利用上述步驟並且避免觸發0.5% 的滑點控制，最終償完一開始的閃電貸，造成 yDAI 保險庫損失 1100 萬美元。
值得注意的是，受影響的策略有執行滑點控制，但目前沒有提幣費用（原本為 0.5% 的提幣費），這使得漏洞有利可圖。為了避免觸發滑點控制，攻擊者反覆利用上述步驟，確保攻擊成功。攻擊發生後，Yearn Finance 立即禁用保險庫策略。
做遏制 DeFi 借貸波動利率 “無形的手”？Yearn Finance 保險庫還不夠保險。
2020 年 9 月底 Yearn Finance 的開發人員就曾披露修補了可能會使 yDAI，yTUSD 和 yUSD 保險庫的資金面臨風險的漏洞。11 月 TUSD Vault 上出現的快速貸款又出現同類攻擊漏洞後，所幸迅速修復。多次修修補補後，仍未逃過一擊。
PeckShield（派盾）安全公司多次提醒，專案方不僅要將程式碼做到極致，還要防患於未然，一旦 有 DeFi 攻擊事件發生，就要自查程式碼，及時查缺補漏。
截至目前，Yearn Finance 核心開發者 banteg 表示，駭客已經竊取了 51.3 萬枚 DAI 和 170 萬美元的 USDT，其餘的以 CRV 代幣的形式存在。
Aave 創始人 Stani Kulechov 則表示，這次攻擊包含一個複雜的漏洞，涉及多個 DeFi 平臺的 160 多筆交易，花費了逾 5000 美元的 Gas 費用。
風投投資者 Julien Thevenard 指出，從 vault 被盜的資金中，有超過 300 萬美元被 DeFi 貸款平臺 Curve 上的流動性提供商接收。
