事件概述：2021年初，DeFi领域知名协议Yearn Finance（YFI）遭遇闪电贷攻击，其DAI策略池被套利，损失高达千万美元。攻击者通过操控Curve流动性池的资产比例，利用YFI与Curve的交互机制漏洞循环获利。

攻击步骤：

1. 通过dYdX和AAVE闪电贷借入大量ETH；
2. 在Compound抵押ETH借出DAI和USDC；
3. 向Curve DAI/USDC/USDT池注入大量流动性，取得控制权；
4. 人为制造池内资产比例失衡，导致DAI贬值；
5. 利用YFI策略池的存款/提现功能，在失衡与恢复比例间套取差额资金；
6. 重复操作5次后归还闪电贷，完成获利。

问题根源：

• YFI与Curve的交互依赖流动性池份额计算价格，易被操控；
• DeFi协议过度追求效率，忽视底层价格机制的脆弱性；
• 当前价格预言机缺乏去中心化验证，无法抵御恶意操纵。

行业反思：

• 闪电贷仅是工具，核心在于协议设计缺陷；
• 比特币的“可信性”设计值得借鉴，需构建多方验证的价格体系；
• NEST Protocol提出通过矿工与验证者博弈生成链上价格，强调去中心化安全路径。

核心观点：DeFi安全需回归区块链本质，坚持去中心化验证机制，避免因追求短期效率牺牲长期稳健性。