分散型金融（DeFi）の世界は速度が速く、セキュリティインシデントは予告なく発生します。最近の Yearn Finance の yETH stableswap プールへの攻撃は、その厳しい現実を改めて示すものです。ブロックチェーンセキュリティ企業 BlockSec の Phalcon チームによって報告されたこのエクスプロイトは、Ethereum ネットワーク上で約 900 万ドル相当の被害をもたらしました。ブロックチェーン技術上に構築された暗号資産やミームトークンに関心があるなら、こうした脆弱性を理解することで安全にこの領域を歩む助けになります。

順を追って見ていきましょう。Yearn Finance は収益最適化のための多様なツールを提供する人気の DeFi プロトコルで、その中には stableswap プールも含まれます。stableswap は、例えば異なるラップ済みの ETH 間など似た性質の資産同士の取引でスリッページを最小化するために設計された流動性プールです。yETH プールは特に、wstETH（Lido の wrapped staked ETH）、rETH（Rocket Pool の staked ETH）、cbETH（Coinbase のバージョン）、mETH（Mantle）などの資産を保持する、加重された stableswap です。プールの LP トークンは yETH で、流動性シェアを表します。

Phalcon の元ツイート によると、攻撃は主に2段階で展開されました。Yearn 自身のアナウンスでも確認されたように、すべては 2025年11月30日 21:11 UTC に始まりました。悪用されたコントラクトは一般的な stableswap コードのカスタムバージョンで、V2 や V3 の vault といった Yearn の他の製品とは別物だったため、それらは影響を受けていません。

ステージ1：プールの供給をゼロに枯渇させる

攻撃者は巧妙にプールの合計 yETH 供給（流動性提供者の持ち分を表すトークン）をゼロにまで減らすようプールを操作しました。これには一連の操作が関与しています：

• update_rates() 関数を呼び出し、プール内の元の yETH 供給を消費したと思われる操作を行った。
• 流動性の追加と除去を繰り返し、さらにレートの更新を組み合わせることで、有効供給量を押し下げた。

供給がゼロに達した時点で、プールは脆弱な状態になりました。金庫を空にしてからシステムを改竄して無限にお金を作るようなイメージです。Phalcon の分析は、攻撃者がこれらの操作の後に remove_liquidity() を呼び出し、供給を完全にゼロにしたことを強調しています。以下のトランザクションログでその様子が示されています：

ステージ2：無限ミントと利益の抽出

供給がゼロになったことで、攻撃者は僅かな入力で莫大な量の yETH をミントできる欠陥を突きました。具体的には、wstETH、rETH、cbETH に 1 wei、mETH に 9 wei などのような極小のトークン量で、235 京以上の yETH（正確には 235,443,031,407,908,519,912,635,443,025,109,143,978,181,362,622,575,235,916）をミントするに至りました。wei は ETH の最小単位なので、ほとんど無料に等しい操作です。

以下はミントのステップを示すトランザクションログのビジュアルです：

この大量にミントした後、ハッカーは 100,000,000,000,000,000,000,000,000,000 yETH を約 1,079 ETH と交換して利益を得ました。プール全体の被害総額は約 900 万ドルで、スマートコントラクトの論理の小さな欠陥がどれほど大きな損害につながるかを改めて示しています。

この事件は、流動性プールやトークンミントの仕組みを狙った最近の他の DeFi ハックとも通じるものがあります。ミームトークンの愛好家にとっては注意喚起です：多くのミームトークンは同様の Ethereum ベースのプロトコル上で動作しており、stableswap の基本を理解することでリスクの高いプロジェクトを見抜く手助けになります。

Yearn Finance は速やかに問題を認め、コアの vault は安全であるとユーザーに保証しました。yETH を保有している、あるいは類似のプールに関与している場合は、Yearn の Twitter や公式ドキュメントなどの公式ソースからの更新を監視することをお勧めします。

これらのエクスプロイトについて情報を持っていることは、投資を守るだけでなく、より安全なブロックチェーンエコシステムへの貢献にもなります。あなたはどう思いますか — これにより DeFi の監査基準は改善されるでしょうか？コメントで意見を共有してください！