تم اختراق مستخدم Goldfinch Finance deltatiger.eth، وسرقة 330 ألف دولار حتى الآن
- خسر مستخدم Goldfinch Finance، deltatiger.eth، مبلغ 330 ألف دولار في استغلال ثغرة في عقد ذكي على شبكة Ethereum، حيث تم توجيه الأموال عبر Tornado Cash.
- استغل الهجوم دالة collectInterestRepayment()، مما مكن من سحب متكرر لعملة USDC بعد تضخم أسعار الأسهم.
- تظل هجمات منصات التمويل اللامركزي (DeFi) واسعة الانتشار، بما في ذلك عملية استخراج yETH من Yearn Finance، مما يسلط الضوء على مخاطر الأمن المستمرة في البروتوكولات اللامركزية.
تعرض مستخدم محدد في منصة DeFi القائمة على Ethereum Goldfinch Finance لاختراق أدى إلى خسائر تقارب 330,000 دولار، وفقاً لمنصة أمان البلوكشين PeckShield.
أبلغ PeckShieldAlert على منصة X يوم الثلاثاء أن مهاجم مستخدم Goldfinch deltatiger.eth أرسل حوالي 118 ETH إلى Tornado Cash بعد اختراق عقد ذكي قديم على Ethereum.
العقد المتضرر، المحدد كـ 0x0689aa2234d06Ac0d04cdac874331d287aFA4B43، مكن الجاني من السيطرة على محفظة deltatiger وتفريغ الأموال.
#تنبيه_درع_بيك @goldfinch_fi المستخدم deltatiger.eth @deltatigernz تعرض للهجوم، مما أدى إلى خسارة تقارب 330 ألف دولار.
قام المهاجم بإيداع 118 $ETH من الأموال المسروقة في #TornadoCash.
🚨يرجى *إلغاء* الموافقات لهذا العقد على الفور:… pic.twitter.com/OOuv39YVU9
— PeckShieldAlert (@PeckShieldAlert) ديسمبر 2، 2025
كمن الثغرة في دالة collectInterestRepayment() في العقد، والتي يمكنها نقل USDC من أي عنوان يمنح الموافقة. أفيد أن المهاجم أودع 1,000 USDC وسحب الأموال بشكل متكرر بعد تضخيم سعر السهم بشكل مصطنع.
حذرت PeckShield المستخدمين من "إلغاء جميع الموافقات على العقد" على الفور لمنع المهاجم من سرقة المزيد من الرموز بينما استمر في استخدام مختلط العملات المشفرة Tornado Cash لغسل المسروقة منها.
لم ترد أي تحديثات من deltatiger و Goldfinch حتى الآن، ولم يكشف أي من الكيانات عما إذا كان المهاجم قد تواصل معهما بعد وقوع الاختراق في حوالي الساعة 9:30 صباحاً بتوقيت UTC اليوم.
طريقة الإقراض اللامركزية في Goldfinch Finance معيبة
Goldfinch Finance هو بروتوكول تمويل لامركزي (DeFi) مدعوم من لاعبين كبار في صناعة العملات المشفرة، بما في ذلك a16z Crypto و Coinbase Ventures.
مختلف تماماً عن معظم منصات الإقراض في العملات المشفرة، لا يتطلب Goldfinch من المقترضين تقديم ضمانات. بدلاً من ذلك، يمكنهم تقديم مقترحات قروض لمراجعتها من قبل الداعمين والمراجعين، والتي يتم صادرًا إذا حصلت المقترحات على دعم كافٍ. يحصل مقدمو السيولة والداعمون والمراجعون على الفائدة كمكافأة، بينما يحصل المقترضون على رأس المال دون وضع ضمانات.
أطلق البروتوكول على Ethereum في فبراير 2021، مصدراً قروضاً بقيمة 1 مليون دولار في البداية. أصدروا الإصدار 1.1 بعد شهر في مارس 2021، وجمع Goldfinch 11 مليون دولار من التمويل من Andreessen Horowitz بعد أشهر. في أكتوبر 2021، شراكة المنصة مع Nexus Mutual، مما يسمح لمقدمي السيولة والداعمين بشراء تأمين على العقود الذكية.
وفقاً لـ Coingecko’s token terminal، فإن بروتوكول Goldfinch لديه قيمة سوقية كاملة مخففة تبلغ 30.5 مليون دولار، وحجم تداول الرموز 12.4 مليون دولار في آخر 30 يوماً، وقروض نشطة إجمالاً بقيمة 91.3 مليون دولار.
في عام 2023، تخلفت شركة تمويل الدراجات النارية في شرق أفريقيا تسمى Tugende Kenya عن سداد قرض عملات مشفرة بقيمة 5 ملايين دولار بعد أن زودت بشكل غير مصرح به شركة الأم الخاصة بها في أوغندا، مما انتهك شروط القرض.
اكتشفت Warbler Labs، الشركة الأم لـ Goldfinch، أن Tugende Kenya حرفت ما يقرب من 2 مليون دولار إلى شركة الأم. تم الكشف عن الانتهاك في ديسمبر من ذلك العام، لكن سجلات الشركة تظهر أنه تم الإبلاغ عنه في منتدى حوكمة Goldfinch في فبراير 2024.
جاء إخفاق آخر في عام 2024 يتعلق بشركة الائتمان الخاصة Lend East المستندة إلى سنغافورة، والتي قالت إنها يمكن أن تسدد فقط حوالي 4.25 مليون دولار من قرض بقيمة 10.15 مليون دولار من خزانة Goldfinch. كان المبلغ أقل بنسبة 58٪ من قيمة السداد وبلغ 7.7٪ من إجمالي القروض النشطة في Goldfinch.
كان لخزانة Lend East مدة 25 شهراً، تنتهي في 3 أبريل 2024، وتقدم عائد سنوي ثابت (APY) بنسبة 17٪ على USDC أو عائد متغير (APY) بنسبة 28٪ على GFI. زعم أعضاء مجتمع Discord أن 750,000 دولار مقترضة من Goldfinch استخدمت لسداد مقترضي آخرين، مما ينتهك اتفاقية القرض الأصلية.
ديسمبر يستقبل بروتوكولات DeFi بخسائر من الهجمات
يأتي اختراق Goldfinch بعد أقل من 24 ساعة من تعرض yETH في Yearn Finance لثغرة طباعة غير محدودة، مما أفقد خزانة yETH بالكامل في معاملة واحدة. وفقاً لـ Cryptopolitan’s تقرير, أنشأ المهاجمون رموز yETH شبه لا نهائية، وسحبوا حوالي 1,000 ETH، بقيمة 3 ملايين دولار، والتي تم توجيهها لاحقاً عبر Tornado Cash.
yETH هو رمز مؤشر يعتمد على عدة إصدارات مرهونة سائلة من ETH، والمعروفة باسم مشتقات الرهن السائلة لإيثيريوم (LSTs). تم اكتشاف الاختراق من قبل مستخدم X Togbe، الذي لاحظ "معاملات كثيفة" على LSTs بما في ذلك Yearn و Rocket Pool و Origin و Dinero.
أكدت Yearn Finance الحادث من خلال حسابها الرسمي على X لكنها طمأنت المستخدمين بأن خزائن V2 و V3 آمنة. هذا هو الهجوم الثاني منذ عام 2021، عندما أدى اختراق خزينة yDAI في Yearn إلى خسارة بقيمة 2.8 مليون دولار، وسكربت معيب في ديسمبر 2023 محى 63٪ من مركز الخزينة.
أبلغت شركة أمان البلوكشين CertiK يوم الأحد أن صناعة العملات المشفرة عانت من خسائر تقدر بـ 127 مليون دولار من الهجمات والاختراقات في نوفمبر. لاحظ تقرير التهديدات الشهري للشركة أن الأموال المتأثرة الفعلية تجاوزت 172 مليون دولار، على الرغم من استرداد حوالي 45 مليون دولار لاحقاً.
أذكى العقول في عالم العملات الرقمية يقرأون بالفعل نشرتنا الإخبارية. هل تريد الانضمام؟ انضم إليهم.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
فلورنس موتشاي
تغطي فلورانس منذ 6 سنوات أخبار العملات الرقمية، والألعاب، والتكنولوجيا، والذكاء الاصطناعي. وقد زودتها دراستها لعلوم الحاسوب في جامعة ميرو للعلوم والتكنولوجيا، ودراسة إدارة الكوارث والدبلوماسية الدولية في MMUST بالمهارات اللغوية والملاحظة والتقنية اللازمة. عملت فلورانس في مجموعة VAP Group وككاتبة تحريرية في عدة وسائل إعلام متخصصة في العملات الرقمية.
