Компания Blockaid, которая специализируется на информационной безопасности блокчейна, 24 июня 2026 года нашла взлом интерфейса веб-сайта децентрализованной денежной (DeFi) площадки агрегирования эффективности Yield Yak. По данным Blockaid, интерфейс веб-сайта Yield Yak был дискредитирован вредоносными скриптами, созданными для опустошения кошельков. Это уже 2-ой случай за прошедшие дни, когда схожая атака была предпринята на крупную площадку по обмену криптовалют, и это последнее дополнение к недавней тенденции взломов интерфейсов, которые были направлены на большие криптовалютные площадки.
В соответствии с обнаружению Blockaid, поддомен vote.yieldyak.com был взломан при помощи кода из программы под заглавием «Eleven drainer». Wallet drainer — это тип вредного скрипта, который обманом принуждает пользователей отправлять свои цифровые активы злодею средством операций, которые были одобрены пользователями. Вредный код принуждает пользователей удостоверять деяния либо посылает активы злодею в тот момент, когда они подключают свои кошельки, и нередко еще перед тем, как они усвоют, что делают. Ни Blockaid, ни Yield Yak не предоставили данные о величине вреда, понесенного в итоге взлома на время опубликования.
Нападающий употребляет classic стратегию
Взлом Yield Yak припоминает незащищенность, которая была обнаружена некоторое количество дней назад на Gitcoin, площадке для выделения финансовых средств проектов с открытым начальным кодом. По данным Blockaid от 21 июня, на поддомене Gitcoin files.gitcoin.co был найден этот же код Eleven drainer, и система предупреждала пользователей держаться подальше от площадки, так как она находилась на этапе проверки. Blockaid впрямую связала два взлома, подчеркнув, что нападение на Yield Yak «следует за вчерашним инцидентомdent Gitcoin, действовавш?? таким же образом».
🚨Система Blockaid выявилаdentна веб-сайт yieldyak[.]com со стороны @yieldyak_. Поддомен веб-сайта – vote[.]yieldyak[.]com – сейчас содержит код незащищенности «одиннадцать».Это случилось после вчерашнего инцидентаdent @gitcoin , действовавш?? таким же образом. pic.twitter.com/YFmWEYfa7D
— Blockaid (@blockaid_) 24 июня 2026 г
В обоих вариантах были дискредитированы не главные интерфейсы приложения, а поддомены. Главной продукт Yield Yak, протокол автоматического начисления процентов на Avalanche, работает на главном домене. Дискредитированный поддомен для голосования, вероятно, является вторичной точкой входа, но хоть какой, кто получит к нему доступ, испытывает судьбу лишиться собственных средств.
Отсутствие defiданных о потерях не постоянно значит малые результаты. Расследование незащищенностей на стороне клиента обычно занимает часы либо даже дни, в течение которых группы безопасности выявляютdentмежду кошельками и инспектируют, совершали ли пользователи вредные операции. В остальных вариантах хищения средств в текущем году утраты колебались от нескольких тысяч до миллионов долларов зависимо от количества людей, подключающих кошельки, до удаления вредного кода. К примеру, в одном из происшествий, которые отслеживаются Blockaiddentхакеры в мае похитили приблизительно 3,2 миллиона долларов из 86 кошельков Safe, задействуя незащищенность постороннего модуля. 2-ой пример — эксплуатация провайдера платежеспособности TrustedVolumes, привевш?? к потерям в размере 5,9 миллиона долларов.
Резкий увеличение количества нападений на наружный интерфейс
Названные взломы Yield Yak и Gitcoin являются частью больше масштабной тенденции, которая потрясла криптовалютное общество в текущем году. Нападения на стороне клиента, когда злодей употребляет незащищенность сайта проекта, не затрагивая смарт-trac, участились на главных площадках DeFi .
До этого в текущем году, в феврале, OpenEden, Curvance и Maple Finance подверглись атакам на свои интернет-интерфейсы в течение одной недели. В этих атаках употреблялся иной набор инструментов для перехвата операций под заглавием AngelFerno, но способ был схожим: получить доступ к интернет-комплексу инфраструктурных объектов проекта, ввести код, который перехватывает соединения с кошельками, и ожидать сотрудничества с пользователями.
В апреле 2026 года компания Blockaid документально зафиксировала еще больше агрессивную схему действий. После звучных нападений на Drift Protocol, KelpDAOи остальные площадки, операторы, которые занимаются хищением цифровой валюты, на протяжении нескольких часов делали похожие домены для перехвата паникующих пользователей, ищущих методы отозвать одобрение токенов. Компания назвала апрель 2026 года «самым плохим месяцем по хищению цифровой валюты на протяжении всей истории», указав на хищение больше 629 миллионов долларов в итоге больше чем 20dent.
Что должны знать пользователи Yield Yak
Yield Yak — это протокол DeFi на Avalanche , который автоматом начисляет вознаграждения за фарминг дохода и управляет децентрализованным агрегатором бирж, согласно его листингу на Alchemy. Пользователи, которые занесли активы через смарт-tracосновной площадки, впрямую не затронуты взломом фронтенда, так как базовыеtracостаются постоянными. Риск распространяется на всех, кто посетил дискредитированный субдомен и подключил кошелек либо подписал операцию.
На время опубликования ни Yield Yak, ни Gitcoin не сделали общественных заявлений о ходе устраненияdent. Ни одна компания по обеспечению безопасности либо исследователь блокчейна не докладывали на публике о удостоверенных потерях, которые связаны с взломом Yield Yak, и в текущее время нет никаких данных в блокчейне, которые указывают на объемы возможных хищений. Blockaid посоветовал пользователям воздержаться от сотрудничества с затронутыми сайтами, пока трудность расследуется и устраняется.
Пользователям, подозревающ??, что вели взаимодействие с vote.yieldyak.com, следует отозвать все одобрения токенов, которые были предоставлены во время сессии, задействуя надежный инструмент, и выслеживать свои кошельки на предмет несогласованных переводов.