Usuario de Goldfinch Finance, deltatiger.eth, hackeado; 330 000 USD robados hasta ahora
- El usuario de Goldfinch Finance deltatiger.eth perdió $330K en una explotación de contrato inteligente en Ethereum, con fondos canalizados a través de Tornado Cash.
- El ataque explotó la función collectInterestRepayment(), permitiendo retiros repetidos de USDC después de inflar los precios de las acciones.
- Los hackeos a plataformas DeFi siguen siendo frecuentes, incluido el drenaje de yETH de Yearn Finance, lo que destaca los riesgos de seguridad persistentes en los protocolos descentralizados.
Un usuario identificado de la plataforma DeFi basada en Ethereum Goldfinch Finance ha sufrido una vulnerabilidad que ha provocado pérdidas de aproximadamente 330 000 USD, según la plataforma de seguridad blockchain PeckShield.
PeckShieldAlert informó en X el martes que el atacante del usuario de Goldfinch, deltatiger.eth, había enviado unos 118 ETH a Tornado Cash después de hackear un contrato inteligente antiguo en Ethereum.
El contrato comprometido, identificado como 0x0689aa2234d06Ac0d04cdac874331d287aFA4B43, permitió al perpetrador tomar el control de la billetera de deltatiger y vaciar los fondos.
#PeckShieldAlert @goldfinch_fi's usuario deltatiger.eth @deltatigernz ha sido atacado, lo que resultó en una pérdida de ~$330K.
El hacker ha depositado 118 $ETH de los fondos robados en #TornadoCash.
🚨Por favor, *revogue* los permisos de este contrato inmediatamente:… pic.twitter.com/OOuv39YVU9
— PeckShieldAlert (@PeckShieldAlert) Diciembre 2, 2025
La vulnerabilidad residía en la función collectInterestRepayment() del contrato, que puede transferir USDC desde cualquier dirección que haya otorgado aprobación. Según se informa, el atacante depositó 1 000 USDC y retiró fondos repetidamente después de inflar artificialmente el precio de la acción.
PeckShield advirtió a los usuarios que "revoguen todas las aprobaciones en el contrato" inmediatamente para evitar que el hacker robe más tokens mientras continúa utilizando el mezclador de criptomonedas Tornado Cash para lavar los robados.
No ha habido actualizaciones de deltatiger ni de Goldfinch hasta ahora, y ninguna de las entidades ha revelado si el atacante se ha comunicado con ellas después de que se produjera la vulnerabilidad alrededor de las 9:30 a. m. UTC de hoy.
Método de préstamo descentralizado de Goldfinch Finance cuestionado
Goldfinch Finance es un protocolo de finanzas descentralizadas (DeFi) respaldado por grandes actores de la industria de las criptomonedas, incluidos a16z Crypto y Coinbase Ventures.
A diferencia de la mayoría de las plataformas de préstamos de criptomonedas, Goldfinch no requiere que los prestatarios proporcionen garantías. En su lugar, pueden presentar propuestas de préstamo para su revisión por parte de los patrocinadores y auditores, lo cual es emitido si las propuestas obtienen el apoyo suficiente. Los proveedores de liquidez, patrocinadores y auditores ganan intereses como recompensa, mientras que los prestatarios acceden a capital sin depositar garantías.
El protocolo se lanzó en Ethereum en febrero de 2021, emitiendo inicialmente préstamos por valor de 1 millón de USD. La versión 1.1 se lanzó un mes después, en marzo de 2021, y Goldfinch recaudó 11 millones de USD en financiación de Andreessen Horowitz meses después. En octubre de 2021, la plataforma se asoció con Nexus Mutual, permitiendo a los proveedores de liquidez y patrocinadores comprar seguros de contratos inteligentes.
Según el terminal de tokens de Coingecko, el protocolo Goldfinch tiene una capitalización de mercado totalmente diluida de 30,5 millones de USD, un volumen de negociación de tokens de 12,4 millones de USD en los últimos 30 días y préstamos activos que suman 91,3 millones de USD.
En 2023, una empresa de financiación de motocicletas de África Oriental llamada Tugende Kenya incumplió un préstamo de criptomonedas por 5 millones de USD después de supuestamente otorgar un préstamo no autorizado a su empresa matriz con sede en Uganda, lo que violaba los términos del préstamo.
Warbler Labs, la empresa matriz de Goldfinch, descubrió que Tugende Kenya había desviado casi 2 millones de USD a su empresa matriz. La violación se reveló en diciembre de ese año, pero los registros de la empresa muestran que se informó en el foro de gobernanza de Goldfinch en febrero de 2024.
Otro incumplimiento se produjo en 2024 y involucró a la firma de crédito privado con sede en Singapur Lend East, que dijo que solo podría reembolsar aproximadamente 4,25 millones de USD de un préstamo de 10,15 millones de USD del fondo de Goldfinch. La cantidad fue un 58 % menor que el valor de reembolso y representó el 7,7 % de los préstamos activos totales de Goldfinch.
El fondo Lend East tenía un plazo de 25 meses, con vencimiento el 3 de abril de 2024, ofreciendo un 17 % de APY en USDC o un 28 % de APY variable en GFI. Los miembros de la comunidad de Discord alegaron que 750 000 USD tomados prestados de Goldfinch se utilizaron para pagar a otros prestatarios, violando el acuerdo de préstamo original.
Diciembre da la bienvenida a los protocolos DeFi con pérdidas por hackeos
El hackeo de Goldfinch se produce apenas 24 horas después de que el yETH de Yearn Finance fuera víctima de una brecha de acuñación ilimitada, vaciando todo el fondo yETH en una sola transacción. Según Cryptopolitan’s informe, los atacantes generaron tokens yETH casi infinitos, extrayendo aproximadamente 1 000 ETH, valorados en 3 millones de USD, que luego se enrutaron a través de Tornado Cash.
yETH es un token índice basado en varias versiones de ETH estacadas líquidas, conocidas como Derivados de Estacado Líquido de Ethereum (LST). La vulnerabilidad fue señalada por el usuario de X Togbe, quien señaló "transacciones pesadas" en LST que incluyen Yearn, Rocket Pool, Origin y Dinero.
Yearn Finance confirmó el incidente a través de su cuenta oficial en X, pero aseguró a los usuarios que las Bóvedas V2 y V3 eran seguras. Este es el segundo ataque desde 2021, cuando la brecha en la bóveda yDAI de Yearn provocó una pérdida de 2,8 millones de USD, y un script defectuoso en diciembre de 2023 que eliminó el 63 % de una posición de tesorería.
La firma de seguridad blockchain CertiK informó el domingo que la industria de las criptomonedas sufrió pérdidas estimadas de 127 millones de USD por hackeos y vulnerabilidades en noviembre. El informe mensual de amenazas de la empresa señaló que los fondos afectados reales superaron los 172 millones de USD, aunque aproximadamente 45 millones de USD fueron recuperados posteriormente.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
