Yield Yak 加入 Gitcoin，成为数日内第二起钱包盗取攻击目标

Blockaid于6月24日在DeFi收益聚合器Yield Yak网站上检测到恶意钱包盗取脚本，这是继Gitcoin遭遇类似攻击后数日内第二起前端被入侵事件。

"子域名 vote.yieldyak.com 被植入了Eleven drainer的代码，这是一种钱包盗取工具包，通过诱骗用户签署授权来窃取其资产，"Blockaid在X平台的一篇帖子中表示。"这紧随昨天Gitcoin发生的入侵事件，作案手法类似。"

此次攻击的目标是Yield Yak的投票子域名，而非其在Avalanche上的核心应用界面。根据其Alchemy上的介绍，该协议可自动复投 yield farming 奖励，并运营着一个去中心化交易所聚合器。截至发稿，Blockaid和Yield Yak均未披露受影响钱包的数量或总损失金额。

该事件加剧了今年前端攻击激增的趋势。4月，Blockaid记录了超过20起安全事件，被盗资金总额超过6.29亿美元，称其为有记录以来加密货币盗窃最严重的一个月。6月初，黑客利用第三方模块漏洞从86个Safe钱包中盗走了约320万美元；另一起针对流动性提供商TrustedVolumes的攻击则造成了590万美元的损失。

Yield Yak和Gitcoin遭攻击的作案模式如出一辙：攻击者选择入侵子域名，而非核心应用界面。2月，OpenEden、Curvance和Maple Finance均在一周内遭受前端攻击，使用的则是另一种名为AngelFerno的盗取工具包。Blockaid表示，继4月Drift Protocol和KelpDAO遭高调攻击后，盗取工具包的运营者在数小时内就搭建了仿冒域名，以拦截那些惊慌失措、正在搜索如何撤销代币授权的用户。

访问过 vote.yieldyak.com 并连接钱包的用户，可能在不知情的情况下批准了恶意交易。Blockaid称，Yield Yak主平台上的底层智能合约并未受到影响。怀疑自己已暴露的用户应撤销在本次会话中授予的代币授权，并监控钱包是否存在未经授权的转账行为。子域名屡次被入侵的事件，凸显了DeFi协议在管理其网络基础设施方面的脆弱性——攻击者正越来越多地将目标对准那些相较于核心平台可能安全审查力度较弱的二级入口。

本文仅供参考，不构成投资建议。