Goldfinch Finance-Benutzer deltatiger.eth gehackt, bisher 330.000 US-Dollar gestohlen
- Der Goldfinch Finance-Nutzer deltatiger.eth verlor 330.000 $ bei einer Smart-Contract-Schwachstelle auf Ethereum, wobei die Mittel über Tornado Cash geleitet wurden.
- Der Angriff nutzte die Funktion collectInterestRepayment() aus, um wiederholte USDC-Abhebungen nach Aufblähung der Anteilspreise zu ermöglichen.
- Hacks bei DeFi-Plattformen bleiben weit verbreitet, einschließlich des yETH-Abflusses bei Yearn Finance, was auf anhaltende Sicherheitsrisiken in dezentralen Protokollen hinweist.
Ein identifizierter Benutzer der auf Ethereum basierenden DeFi-Plattform Goldfinch Finance hat laut Blockchain-Sicherheitsplattform PeckShield einen Exploit erlitten, der zu Verlusten von etwa 330.000 US-Dollar führte.
PeckShieldAlert berichtete am Dienstag auf X, dass der Angreifer des Goldfinch-Benutzers deltatiger.eth etwa 118 ETH an Tornado Cash gesendet hatte, nachdem er einen älteren Smart Contract auf Ethereum gehackt hatte.
Der kompromittierte Vertrag, identifiziert als 0x0689aa2234d06Ac0d04cdac874331d287aFA4B43, ermöglichte es dem Täter, die Kontrolle über die Wallet von deltatiger zu übernehmen und Gelder abzufließen zu lassen.
#PeckShieldAlert @goldfinch_fi‘s Nutzer deltatiger.eth @deltatigernz wurde angegriffen, was zu einem Verlust von ca. 330.000 $ führte.
Der Hacker hat 118 $ETH der gestohlenen Gelder in #TornadoCash eingezahlt.
🚨Bitte *widerrufen* Sie sofort die Genehmigungen für diesen Vertrag:… pic.twitter.com/OOuv39YVU9
— PeckShieldAlert (@PeckShieldAlert) Dezember 2, 2025
Die Schwachstelle lag in der Funktion collectInterestRepayment() des Vertrags, die USDC von jeder Adresse übertragen kann, die die Genehmigung erteilt hat. Berichten zufolge hat der Angreifer 1.000 USDC eingezahlt und wiederholt Gelder abgehoben, nachdem er den Aktienkurs künstlich aufgebläht hatte.
PeckShield warnte Benutzer, „alle Genehmigungen für den Vertrag“ sofort zu widerrufen, um zu verhindern, dass der Hacker weitere Token stiehlt, während er den Krypto-Mixer weiter nutzt Tornado Cash um die gestohlenen zu waschen.
Es gab bisher keine Updates von deltatiger und Goldfinch, und keine der beiden Entitäten hat bekannt gegeben, ob der Angreifer nach dem Exploit, der heute gegen 9:30 Uhr UTC stattfand, mit ihnen kommuniziert hat.
Die dezentrale lending-Methode von Goldfinch Finance beanstandet
Goldfinch Finance ist ein dezentrales Finanzprotokoll (DeFi), das von großen Akteuren der Kryptobranche unterstützt wird, darunter a16z Crypto und Coinbase Ventures.
Im Gegensatz zu den meisten Krypto-Lending-Plattformen verlangt Goldfinch von Kreditnehmern keine Sicherheiten. Stattdessen können sie Kreditvorschläge zur Prüfung durch Unterstützer und Prüfer einreichen, die dann hat wenn die Vorschläge ausreichende Unterstützung erhalten. Liquiditätsanbieter, Unterstützer und Prüfer verdienen Zinsen als Belohnung, während Kreditnehmer Kapital ohne Hinterlegung von Sicherheiten erhalten.
Das Protokoll ging im Februar 2021 auf Ethereum live und vergab zunächst Kredite im Wert von 1 Million US-Dollar. Version 1.1 wurde einen Monat später im März 2021 gestartet, und Goldfinch sammelte Monate später 11 Millionen US-Dollar an Finanzierung von Andreessen Horowitz. Im Oktober 2021 ging die Plattform eine Partnerschaft mit Nexus Mutual ein, die es Liquiditätsanbietern und Unterstützern ermöglichte, Smart-Contract-Versicherungen zu kaufen.
Laut Coingeckos Token-Terminal hat das Goldfinch-Protokoll eine vollständig verwässerte Marktkapitalisierung von 30,5 Millionen US-Dollar, ein Token-Handelsvolumen von 12,4 Millionen US-Dollar in den letzten 30 Tagen und aktive Kredite in Höhe von insgesamt 91,3 Millionen US-Dollar.
Im Jahr 2023 zahlte ein ostafrikanisches Motorrad-Finanzierungsunternehmen namens Tugende Kenya einen Krypto-Kredit in Höhe von 5 Millionen US-Dollar nicht zurück, nachdem es angeblich einen nicht autorisierten Kredit an seine in Uganda ansässige Muttergesellschaft gewährt hatte, was gegen die Kreditbedingungen verstieß.
Warbler Labs, die Muttergesellschaft von Goldfinch, stellte fest, dass Tugende Kenya fast 2 Millionen US-Dollar an seine Mutterfirma umgeleitet hatte. Der Verstoß wurde im Dezember desselben Jahres aufgedeckt, aber Unternehmensunterlagen zeigen, dass er im Februar 2024 im Governance-Forum von Goldfinch gemeldet wurde.
Ein weiterer Ausfall ereignete sich 2024 und betraf das in Singapur ansässige Private-Credit-Unternehmen Lend East, das angab, nur etwa 4,25 Millionen US-Dollar eines Kredits in Höhe von 10,15 Millionen US-Dollar aus dem Goldfinch-Pool zurückzahlen zu können. Der Betrag lag um 58 % unter dem Rückzahlungswert und machte 7,7 % der gesamten aktiven Kredite von Goldfinch aus.
Der Lend East-Pool hatte eine Laufzeit von 25 Monaten, die am 3. April 2024 auslief, und bot 17 % USDC-APY oder 28 % variable GFI-APY an. Mitglieder der Discord-Community behaupteten, dass 750.000 US-Dollar, die von Goldfinch geliehen wurden, zur Rückzahlung anderer Kreditnehmer verwendet wurden, was den ursprünglichen Kreditvertrag verletzte.
Dezember begrüßt DeFi-Protokolle bei Verlusten durch Hacks
Der Hack von Goldfinch erfolgt knapp 24 Stunden nach dem Angriff auf Yearn Finances yETH durch einen unbegrenzten Minting-Breach, der den gesamten yETH-Pool in einer einzigen Transaktion leerte. Laut Cryptopolitan’s Bericht, generierten Angreifer nahezu unendliche yETH-Token, extrahierten etwa 1.000 ETH im Wert von 3 Millionen US-Dollar, die dann über Tornado Cash geleitet wurden.
yETH ist ein Index-Token, das auf mehreren liquid-staked Versionen von ETH basiert, die als Ethereum Liquid Staking Derivatives (LSTs) bekannt sind. Der Exploit wurde vom X-Nutzer Togbe gemeldet, der „schwere Transaktionen“ bei LSTs einschließlich Yearn, Rocket Pool, Origin und Dinero bemerkte.
Yearn Finance bestätigte den Vorfall über sein offizielles X-Konto, versicherte den Nutzern jedoch, dass V2- und V3-Vaults sicher seien. Dies ist der zweite Angriff seit 2021, als der yDAI-Vault-Breach von Yearn zu einem Verlust von 2,8 Millionen US-Dollar führte, und ein fehlerhaftes Skript im Dezember 2023, das 63 % einer Treasury-Position auslöschte.
Die Blockchain-Sicherheitsfirma CertiK berichtete am Sonntag, dass die Kryptobranche im November geschätzte Verluste von 127 Millionen US-Dollar aus Hacks und Exploits erlitten hat. Der monatliche Bedrohungsbericht des Unternehmens stellte fest, dass die tatsächlich betroffenen Gelder 172 Millionen US-Dollar überstiegen, obwohl etwa 45 Millionen US-Dollar später zurückgewonnen wurden.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
