Yield Yak bị phát hiện dính tấn công front-end vào ngày 24/6/2026, trong đó subdomain vote.yieldyak.com bị chèn mã drainer có thể đánh cắp tài sản từ ví người dùng.
Sự cố này diễn ra trong bối cảnh các cuộc tấn công vào lớp giao diện web của những nền tảng crypto lớn đang tăng lên, còn thiệt hại thực tế tại Yield Yak hiện chưa được công bố.
- Blockaid phát hiện vote.yieldyak.com bị chèn mã “Eleven drainer”.
- Rủi ro chủ yếu xuất hiện khi người dùng kết nối ví hoặc ký giao dịch trên trang bị xâm nhập.
- Yield Yak là trường hợp mới nhất trong làn sóng tấn công front-end nhắm vào các nền tảng crypto.
Yield Yak bị tấn công vào lớp giao diện web
Yield Yak là một cuộc tấn công front-end, tức kẻ xấu xâm nhập vào website thay vì smart contract cốt lõi. Mã độc được ghi nhận trên subdomain vote.yieldyak.com có thể lừa người dùng phê duyệt giao dịch và chuyển tài sản sang ví của kẻ tấn công.
Blockaid cho biết phần bị ảnh hưởng chứa code từ công cụ “Eleven drainer”. Hiện chưa rõ có bao nhiêu người bị ảnh hưởng hoặc tổng thiệt hại là bao nhiêu.
Vì sao subdomain này vẫn có thể gây rủi ro?
vote.yieldyak.com là một điểm truy cập phụ, nhưng vẫn có thể trở thành bẫy nếu người dùng kết nối ví. Dù lõi sản phẩm của Yield Yak chạy trên domain chính, bất kỳ tương tác nào với giao diện bị chèn mã độc đều có thể kích hoạt hành vi đánh cắp tài sản.
Điểm quan trọng của kiểu tấn công này là smart contract có thể không bị sửa đổi, khiến người dùng dễ chủ quan. Rủi ro nằm ở bước ký và xác nhận trong trình duyệt, nơi mã độc có thể thay đổi nội dung người dùng nhìn thấy hoặc hành động mà họ thực hiện.
Đây không phải là trường hợp đơn lẻ
Yield Yak xuất hiện trong chuỗi các vụ front-end hack gần đây nhắm vào các nền tảng crypto lớn. Trước đó, Gitcoin cũng bị phát hiện có cùng kiểu mã “Eleven drainer” trên một subdomain, còn nhiều nền tảng DeFi khác đã gặp sự cố tương tự trong năm nay.
Những vụ việc này cho thấy kẻ tấn công đang ưu tiên chiếm quyền lớp web, rồi chờ người dùng tự kết nối ví hoặc ký giao dịch. Cách làm này thường không đụng trực tiếp đến hợp đồng thông minh nhưng vẫn có thể gây thiệt hại đáng kể.
Người dùng Yield Yak cần theo dõi gì
Người dùng Yield Yak cần chú ý đến mọi giao dịch đã ký trên vote.yieldyak.com trong thời gian xảy ra sự cố. Nếu đã tương tác với trang bị ảnh hưởng, việc cần làm là kiểm tra và thu hồi các quyền token đã cấp trong phiên đó.
Hiện chưa có xác nhận công khai về quy mô tổn thất liên quan đến Yield Yak. Dữ liệu hiện có cũng chưa cho thấy có bằng chứng on-chain nào về mức độ thiệt hại, nên tình trạng thực tế vẫn cần chờ cập nhật thêm từ quá trình khắc phục và điều tra.
Tổng kết
Yield Yak là ví dụ mới nhất về rủi ro front-end trong crypto, nơi website bị xâm nhập có thể trở thành điểm đánh cắp tài sản dù smart contract vẫn nguyên vẹn.
