Utente di Goldfinch Finance deltatiger.eth hackerato, 330.000 dollari rubati finora
- L'utente di Goldfinch Finance deltatiger.eth ha perso 330.000 dollari a causa di un exploit in uno smart contract su Ethereum, con i fondi instradati tramite Tornado Cash.
- L'attacco ha sfruttato la funzione collectInterestRepayment(), consentendo prelievi ripetuti di USDC dopo aver gonfiato il prezzo delle quote.
- Gli attacchi alle piattaforme DeFi sono ancora diffusi, incluso il drenaggio di yETH da parte di Yearn Finance, a evidenziare i rischi di sicurezza persistenti nei protocolli decentralizzati.
Un utente identificato della piattaforma DeFi basata su Ethereum Goldfinch Finance ha subito un exploit che ha causato perdite di circa 330.000 dollari, secondo la piattaforma di sicurezza blockchain PeckShield.
PeckShieldAlert ha riportato su X martedì che l'attaccante dell'utente Goldfinch deltatiger.eth aveva inviato circa 118 ETH a Tornado Cash dopo aver hackerato un contratto intelligente più vecchio su Ethereum.
Il contratto compromesso, identificato come 0x0689aa2234d06Ac0d04cdac874331d287aFA4B43, ha consentito al responsabile di prendere il controllo del portafoglio di deltatiger e svuotare i fondi.
#PeckShieldAlert @goldfinch_fi’s user deltatiger.eth @deltatigernz è stato attaccato, con una perdita di circa 330.000 dollari.
L'hacker ha depositato 118 $ETH dei fondi rubati in #TornadoCash.
🚨Please *Revoke* approvals for this contract immediately:… pic.twitter.com/OOuv39YVU9
— PeckShieldAlert (@PeckShieldAlert) Dicembre 2, 2025
La vulnerabilità risiedeva nella funzione collectInterestRepayment() del contratto, che può trasferire USDC da qualsiasi indirizzo che abbia concesso l'approvazione. Si ritiene che l'attaccante abbia depositato 1.000 USDC e abbia prelevato ripetutamente fondi dopo aver gonfiato artificialmente il prezzo delle quote.
PeckShield ha avvisato gli utenti di “revocare tutte le approvazioni sul contratto” immediatamente per impedire all'hacker di rubare altri token mentre continuava a utilizzare il mixer crittografico Tornado Cash per riciclare quelli rubati.
Non ci sono stati aggiornamenti da deltatiger e Goldfinch finora, e nessuna delle due entità ha rivelato se l'attaccante abbia comunicato con loro dopo che l'exploit si è verificato intorno alle 9:30 UTC di oggi.
Metodo di prestito decentralizzato di Goldfinch Finance difettoso
Goldfinch Finance è un protocollo di finanza decentralizzata (DeFi) supportato da importanti attori del settore crittografico, tra cui a16z Crypto e Coinbase Ventures.
Molto diverso dalla maggior parte delle piattaforme di prestito crittografico, Goldfinch non richiede ai mutuatari di fornire garanzie. Invece, possono presentare proposte di prestito per la revisione da parte di sostenitori e auditor, che viene poi emesso se le proposte ottengono un supporto sufficiente. I fornitori di liquidità, i sostenitori e gli auditor guadagnano interessi come ricompensa, mentre i mutuatari accedono al capitale senza depositare garanzie.
Il protocollo è andato live su Ethereum nel febbraio 2021, emettendo inizialmente prestiti per un valore di 1 milione di dollari. La versione 1.1 è stata lanciata un mese dopo nel marzo 2021, e Goldfinch ha raccolto 11 milioni di dollari di finanziamenti da Andreessen Horowitz mesi dopo. Nell'ottobre 2021, la piattaforma si è associata a Nexus Mutual, consentendo ai fornitori di liquidità e ai sostenitori di acquistare un'assicurazione sui contratti intelligenti.
Secondo il token terminal di Coingecko, il protocollo Goldfinch ha una capitalizzazione di mercato completamente diluita di 30,5 milioni di dollari, un volume di scambio di token di 12,4 milioni di dollari negli ultimi 30 giorni e prestiti attivi per un totale di 91,3 milioni di dollari.
Nel 2023, un'azienda di finanziamento per motocicli dell'Africa orientale chiamata Tugende Kenya ha default su un prestito crittografico di 5 milioni di dollari dopo aver presumibilmente concesso un prestito non autorizzato alla sua società madre con sede in Uganda, violando i termini del prestito.
Warbler Labs, la società madre di Goldfinch, ha scoperto che Tugende Kenya aveva dirottato quasi 2 milioni di dollari verso la sua società madre. La violazione è stata svelata a dicembre di quell'anno, ma i registri aziendali mostrano che è stata segnalata sul forum di governance di Goldfinch nel febbraio 2024.
Un altro default si è verificato nel 2024 e ha coinvolto Lend East, un'azienda di credito privato con sede a Singapore, che ha dichiarato di poter rimborsare solo circa 4,25 milioni di dollari di un prestito di 10,15 milioni di dollari dal pool di Goldfinch. L'importo era il 58% inferiore al valore di rimborso e rappresentava il 7,7% dei prestiti attivi totali di Goldfinch.
Il pool Lend East aveva una durata di 25 mesi, con scadenza il 3 aprile 2024, offrendo un APY USDC del 17% o un APY GFI variabile del 28%. I membri della community Discord hanno sostenuto che 750.000 dollari presi in prestito da Goldfinch sono stati utilizzati per rimborsare altri mutuatari, violando l'accordo di prestito originale.
Dicembre accoglie i protocolli DeFi con perdite da hack
L'hack di Goldfinch arriva a malapena 24 ore dopo che lo yETH di Yearn Finance è stato colpito da una violazione di coniazione illimitata, che ha svuotato l'intero pool yETH in una singola transazione. Secondo Cryptopolitan’s rapporto, gli attaccanti hanno generato token yETH quasi infiniti, estraendo circa 1.000 ETH, del valore di 3 milioni di dollari, che sono stati poi instradati attraverso Tornado Cash.
yETH è un token indice basato su diverse versioni liquid-staked di ETH, note come Derivati di Staking Liquido di Ethereum (LST). L'exploit è stato segnalato dall'utente X Togbe, che ha notato “transazioni pesanti” su LST tra cui Yearn, Rocket Pool, Origin e Dinero.
Yearn Finance ha confermato l'incidente attraverso il suo account X ufficiale ma ha assicurato agli utenti che i Vault V2 e V3 erano sicuri. Questo è il secondo attacco dal 2021, quando la violazione del vault yDAI di Yearn ha causato una perdita di 2,8 milioni di dollari, e uno script difettoso a dicembre 2023 che ha azzerato il 63% di una posizione di tesoreria.
La società di sicurezza blockchain CertiK ha riportato domenica che l'industria crittografica ha subito perdite stimate di 127 milioni di dollari da hackerie e exploit a novembre. Il rapporto mensile sulle minacce dell'azienda ha rilevato che i fondi effettivamente colpiti hanno superato i 172 milioni di dollari, sebbene circa 45 milioni siano stati successivamente recuperati.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Florence Muchai
Florence si occupa di notizie relative a criptovalute, gaming, tecnologia e AI da oltre 6 anni. I suoi studi in Informatica presso l'Università Meru di Scienze e Tecnologia e in Gestione delle Emergenze e Diplomazia Internazionale presso il MMUST le hanno fornito eccellenti competenze linguistiche, osservative e tecniche. Florence ha lavorato al VAP Group e come editor per diverse testate specializzate in criptovalute.
