O Yield Protocol (YO) sofreu uma perda de aproximadamente 3,73 milhões de dólares na terça-feira, 13 de janeiro, após um swap de cofre transformar cerca de 3,84 milhões de dólares em stkGHO, uma versão staked do stablecoin GHO da Aave, em apenas cerca de 122.000 dólares em USDC, segundo empresas de segurança blockchain PeckShield e BlockSec.
PeckShieldAlert disse em uma postagem no X que a perda ocorreu durante uma troca de stkGHO para USDC devido a um slippage extremo. O slippage ocorre quando uma negociação é executada a um preço pior do que o esperado, frequentemente durante movimentos rápidos no mercado ou quando não há liquidez suficiente para uma negociação grande.
BlockSec disse a troca ocorreu no Ethereum e a descreveu como uma "troca bizarra". Enquanto isso, QuillAudits disse o comércio pode ter sido roteado por meio de um pool do Uniswap v4, que usa "ganchos" que podem tornar as trocas mais complexas e difíceis de prever.
Pesquisadores de segurança enfatizaram que o incidente não foi um exploit ou um hack de contrato inteligente. Ainda assim, o incidente destaca um risco fundamental na finança descentralizada (DeFi): mesmo sem um hack, grandes negócios podem resultar em grandes perdas se direcionados por meio de liquidez reduzida ou pools com taxas altas.
YO supostamente endereçou o destinatário dos fundos em uma mensagem on-chain, descrevendo o evento como um "swap não intencional" e propondo que eles mantivessem 10% dos lucros como recompensa por vulnerabilidade e devolvessem o restante, segundo Defimon Alerts, que compartilhado a mensagem em X.
A QuillAudits também observou que a equipe agiu rapidamente após a troca, comprando de volta aproximadamente 3,7 milhões de dólares em GHO e redepósitando o stkGHO na carteira. A empresa também afirmou que o YO pausou temporariamente o mercado YoUSD no Pendle antes de reativá-lo após a recapitalização.
O incidente rapidamente atraiu críticas nas redes sociais, com alguns usuários questionando os controles de risco do protocolo e como a troca foi executada. Números observadores acusaram a equipe de negligência por permitir que tal negociação fosse concluída.
O YO não publicou uma explicação pública completa até o momento da impressão. O Defiant entrou em contato com a equipe para comentários, mas ainda não recebeu uma resposta.