YO Protocol 驚傳嚴重換幣失誤：價值約 384 萬美元的 stkGHO 在一次資產再平衡操作中，意外透過 Uniswap v4 極端池子兌換，僅換得約 12.2 萬美元 USDC，瞬間蒸發近 370 萬美元。
（前情提要：TrueBit 協議疑似遭駭客攻擊！8,535 枚以太坊被異常轉出，$TRU 瞬間腰斬）
（背景補充：北韓駭客 2025 年盜竊創紀錄：竊取 20.2 億美元加密貨幣，洗錢周期約 45 天）

本文目錄

• 事件經過
• YO Protocol 團隊的快速反應
• 事件根本原因總結

區塊鏈安全公司 BlockSec 最新發文披露，DeFi 協議 YO Protocol 於 2026 年 1 月 13 日發生了一起嚴重的異常換幣事件。這並非傳統意義上的智能合約漏洞或駭客攻擊事件，而是操作過程中出現的嚴重失誤，導致價值約 384 萬美元的 stkGHO（Aave 質押的 GHO 代幣）在兌換 USDC 的過程中，僅成功換得約 12.2 萬美元的 USDC，實際損失接近 370 萬美元。

YO protocol (@yield) was reported to suffer a bizarre swap on #Ethereum: ~$3.84M stkGHO ended up as only ~$122K USDC. The team has taken actions including buying GHO and re-depositing stkGHO into the vault.

Our investigation suggests the discrepancy may have resulted from two… pic.twitter.com/ttbZwv5zEt

— BlockSec Phalcon (@Phalcon_xyz) January 13, 2026

事件經過

Theo phân tích của nhiều nhóm an ninh như BlockSec, sự kiện bắt nguồn từ hoạt động tái cân bằng tài sản quy mô lớn do người vận hành Vault của YO Protocol (hoặc keeper tự động) thực hiện: đổi khoảng 384 triệu USD stkGHO (GHO token thế chấp trên Aave) sang USDC. Giao dịch này ban đầu dự kiến sẽ tìm đường đi tốt nhất qua các aggregator, nhưng lại bị hướng vào một pool của Uniswap v4 có thanh khoản cực kỳ mỏng, phí cao (hoặc sử dụng hook tùy chỉnh).

Do lựa chọn route bất thường, cộng thêm khả năng người khởi tạo đã đặt mức slippage quá cao (hoặc không đặt phòng ngừa), dẫn đến tác động giá cực đoan và phí lớn bị rút ra. Cuối cùng, phần lớn giá trị bị các nhà cung cấp thanh khoản (LP) của pool Uniswap v4 chiếm đoạt, chỉ còn lại khoảng 11.2～12.2 nghìn USD USDC về tay hợp đồng.

Phản ứng nhanh của nhóm YO Protocol

Sau khi sự kiện xảy ra, nhóm YO Protocol đã trong vòng vài giờ thực hiện các biện pháp khắc phục:

• Mua lại khoảng 371 triệu USD GHO qua aggregator CoW Swap có bảo vệ MEV.
• Đưa stkGHO tương đương trở lại Vault, nhanh chóng phục hồi thanh khoản.
• Tạm thời tạm dừng thị trường YoUSD trên Pendle, chờ hoàn tất bồi thường rồi mở lại.

Ngoài ra, nhóm còn để lại bình luận trên chuỗi, đề xuất hợp tác với LP đã chốt lời: đề nghị LP giữ lại 10% như phần thưởng khai thác lỗ hổng, phần còn lại thân thiện hoàn trả, hy vọng giải quyết tranh chấp một cách riêng tư.

事件根本原因總結

Sự kiện này không phải do hợp đồng của YO Protocol có lỗ hổng, mà là kết quả của rủi ro vận hành đi kèm đặc thù của Uniswap v4. Các yếu tố chính gồm:

• Script tự động hoặc route aggregator chọn sai, vô tình đi vào pool v4 cấu hình cực đoan (thanh khoản hẹp, phí cao hoặc dùng hook tùy chỉnh có thể gây phí cao động hoặc thao túng giá).
• Thiếu các cơ chế phòng ngừa đủ, như whitelist pool, giới hạn slippage, kiểm tra tác động giá.
• Từ khi Uniswap v4 ra mắt năm 2025, cơ chế hook mang lại đổi mới cao, nhưng cũng tiềm ẩn rủi ro “bom slippage”, đặc biệt nguy hiểm với các giao dịch lớn.

Nhiều nhóm an ninh đồng thuận cho rằng đây là một sự kiện “lỗi vận hành mở rộng” chứ không phải tấn công cố ý, cảnh báo các giao thức DeFi khi tự động hóa các thao tác lớn cần tăng cường các biện pháp an toàn.