L'utilisateur de Goldfinch Finance deltatiger.eth piraté, 330 000 $ volés jusqu'à présent
- L'utilisateur de Goldfinch Finance deltatiger.eth a perdu 330 000 $ dans le cadre d'une exploitation de contrat intelligent sur Ethereum, les fonds ayant été acheminés via Tornado Cash.
- L'attaque a exploité la fonction collectInterestRepayment(), permettant des retraits répétés de USDC après avoir gonflé les prix des parts.
- Les piratages de plateformes DeFi restent monnaie courante, notamment le drain de yETH par Yearn Finance, soulignant les risques de sécurité persistants dans les protocoles décentralisés.
Un utilisateur identifié de la plateforme DeFi basée sur Ethereum Goldfinch Finance a subi une exploitation entraînant des pertes d'environ 330 000 dollars, selon la plateforme de sécurité blockchain PeckShield.
PeckShieldAlert a rapporté sur X mardi que l'attaquant de l'utilisateur Goldfinch deltatiger.eth avait envoyé environ 118 ETH à Tornado Cash après avoir piraté un ancien contrat intelligent sur Ethereum.
Le contrat compromis, identifié comme 0x0689aa2234d06Ac0d04cdac874331d287aFA4B43, a permis à l'auteur de prendre le contrôle du portefeuille de deltatiger et de vider les fonds.
#PeckShieldAlert @goldfinch_fi, l'utilisateur deltatiger.eth @deltatigernz a été victime d'une attaque entraînant une perte d'environ 330 000 $.
Le pirate a déposé 118 $ETH des fonds volés dans #TornadoCash.
🚨Veuillez *révoquer* immédiatement les approbations pour ce contrat :… pic.twitter.com/OOuv39YVU9
— PeckShieldAlert (@PeckShieldAlert) décembre 2, 2025
La vulnérabilité résidait dans la fonction collectInterestRepayment() du contrat, qui peut transférer des USDC depuis n'importe quelle adresse ayant accordé une approbation. L'attaquant aurait déposé 1 000 USDC et retiré à plusieurs reprises des fonds après avoir artificiellement gonflé le prix des parts.
PeckShield a mis en garde les utilisateurs contre le fait de « révoquer toutes les approbations sur le contrat » immédiatement pour empêcher le pirate de voler plus de tokens alors qu'il continuait à utiliser le mélangeur de cryptomonnaies Tornado Cash pour blanchir ceux qui ont été volés.
Aucune mise à jour n'a été fournie par deltatiger et Goldfinch jusqu'à présent, et aucune des entités n'a divulgué si l'attaquant avait communiqué avec elles après l'exploitation survenue vers 9h30 UTC aujourd'hui.
La méthode de prêt décentralisée de Goldfinch Finance contestée
Goldfinch Finance est un protocole de finance décentralisée (DeFi) soutenu par des acteurs majeurs de l'industrie crypto, notamment a16z Crypto et Coinbase Ventures.
Très différent de la plupart des plateformes de prêt crypto, Goldfinch n'exige pas des emprunteurs qu'ils fournissent un collatéral. Au lieu de cela, ils peuvent soumettre des propositions de prêt pour examen par les soutiens et les auditeurs, ce qui est ensuite publié si les propositions obtiennent un soutien suffisant. Les fournisseurs de liquidité, les soutiens et les auditeurs gagnent des intérêts en tant que récompense, tandis que les emprunteurs accèdent au capital sans poster de collatéral.
Le protocole est devenu opérationnel sur Ethereum en février 2021, émettant initialement des prêts d'une valeur de 1 million de dollars. La version 1.1 a été lancée un mois plus tard en mars 2021, et Goldfinch a levé 11 millions de dollars de financement auprès d'Andreessen Horowitz quelques mois plus tard. En octobre 2021, la plateforme s'est associée à Nexus Mutual, permettant aux fournisseurs de liquidité et aux soutiens d'acheter une assurance contrats intelligents.
Selon le terminal de jetons de Coingecko, le protocole Goldfinch a une capitalisation boursière entièrement diluée de 30,5 millions de dollars, un volume de trading de jetons de 12,4 millions de dollars au cours des 30 derniers jours, et des prêts actifs totalisant 91,3 millions de dollars.
En 2023, une entreprise kényane de financement de motos nommée Tugende Kenya a fait défaut sur un prêt crypto de 5 millions de dollars après avoir supposément accordé un prêt non autorisé à sa société mère basée en Ouganda, ce qui violait les conditions du prêt.
Warbler Labs, la société mère de Goldfinch, a découvert que Tugende Kenya avait détourné près de 2 millions de dollars vers sa société mère. La violation a été révélée en décembre de cette année-là, mais les registres de l'entreprise indiquent qu'elle a été signalée sur le forum de gouvernance de Goldfinch en février 2024.
Un autre défaut de paiement est survenu en 2024 impliquant Lend East, une entreprise de crédit privé basée à Singapour, qui a déclaré ne pouvoir rembourser qu'environ 4,25 millions de dollars d'un prêt de 10,15 millions de dollars provenant du pool Goldfinch. Ce montant était inférieur de 58 % à la valeur de remboursement et représentait 7,7 % des prêts actifs totaux de Goldfinch.
Le pool Lend East avait une durée de 25 mois, arrivant à échéance le 3 avril 2024, offrant un rendement annuel de 17 % en USDC ou un rendement variable de 28 % en GFI APY. Les membres de la communauté Discord ont allégué que 750 000 dollars empruntés à Goldfinch ont été utilisés pour rembourser d'autres emprunteurs, violant ainsi l'accord de prêt initial.
Décembre accueille les protocoles DeFi face aux pertes dues aux piratages
Le piratage de Goldfinch survient à peine 24 heures après que le yETH de Yearn Finance a été touché par une brèche de minting illimité, vidant l'intégralité du pool yETH en une seule transaction. Selon Cryptopolitan rapport, les attaquants ont généré un nombre quasi infini de tokens yETH, extrayant environ 1 000 ETH, d'une valeur de 3 millions de dollars, qui ont ensuite été acheminés via Tornado Cash.
yETH est un token indexé basé sur plusieurs versions liquidées de l'ETH, connues sous le nom de Dérivés de Staking Liquide Ethereum (LST). L'exploitation a été signalée par l'utilisateur X Togbe, qui a noté des « transactions lourdes » sur les LST, notamment Yearn, Rocket Pool, Origin et Dinero.
Yearn Finance a confirmé l'incident via son compte X officiel mais a assuré aux utilisateurs que les Vaults V2 et V3 étaient sécurisés. Il s'agit de la deuxième attaque depuis 2021, lorsque la brèche du vault yDAI de Yearn a entraîné une perte de 2,8 millions de dollars, et d'un script défectueux en décembre 2023 qui a anéanti 63 % d'une position de trésorerie.
La firme de sécurité blockchain CertiK a rapporté dimanche que l'industrie des cryptomonnaies a subi des pertes estimées à 127 millions de dollars à cause de piratages et d'exploitations en novembre. Le rapport mensuel sur les menaces de l'entreprise a noté que les fonds réellement affectés dépassaient 172 millions de dollars, bien qu'environ 45 millions de dollars aient été récupérés par la suite.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
