Goldfinch Financeユーザー deltatiger.eth がハッキングされ、これまでに33万ドルが盗まれる

EthereumベースのDeFiプラットフォームGoldfinch Financeの特定されたユーザーが、ブロックチェーンセキュリティプラットフォームPeckShieldによると、約33万ドルの損失を伴う悪用被害を受けたと報告されています。

PeckShieldAlertは火曜日にXで、Goldfinchユーザー deltatiger.eth の攻撃者が、Ethereum上の古いスマートコントラクトをハッキングした後、約118 ETHをTornado Cashに送金したと報告しました。

侵害されたコントラクト（0x0689aa2234d06Ac0d04cdac874331d287aFA4B43として識別）は、加害者が deltatiger のウォレットを制御し、資金を空にすることを可能にしました。

#PeckShieldAlert @goldfinch_fiのユーザー deltatiger.eth @deltatigernz が攻撃を受け、約 33 万ドルの損失が発生しました。

ハッカーは、盗まれた資金の118 $ETHを #TornadoCash に預けました。

🚨このコントラクトへの承認をすぐに *取り消し* してください：… pic.twitter.com/OOuv39YVU9

— PeckShieldAlert (@PeckShieldAlert) 12月2日、2025

脆弱性はコントラクトの collectInterestRepayment() 関数にあり、承認を与えたあらゆるアドレスからUSDCを送金することができます。攻撃者は1,000 USDCを預け入れ、シェア価格を人為的に膨らませた後、資金を繰り返し引き出したと報告されています。

PeckShieldは、ハッカーが暗号ミキサーの使用を続ける中でさらにトークンを盗むのを防ぐため、ユーザーに直ちに「コントラクト上のすべての承認を取り消す」よう警告しました。 Tornado Cash 盗まれた ones を洗浄するために。 

deltatigerおよびGoldfinchからの更新はなく、両者とも、今日UTC午前9時30分頃に悪用が発生した後に攻撃者が彼らと連絡を取ったかどうかを開示していません。

Goldfinch Financeの分散型融資方法に問題

Goldfinch Financeは、a16z CryptoやCoinbase Venturesなど、暗号業界の主要プレイヤーが支援する分散型金融（DeFi）プロトコルです。 

多くの暗号貸付プラットフォームとは大きく異なり、Goldfinchは借り手に担保の提供を要求しません。代わりに、借り手は支援者および監査員による審査のために融資提案を提出し、その後 発行 提案が十分な支持を得た場合。流動性提供者、支援者、監査員は報酬として利息を獲得し、借り手は担保なしで資本にアクセスできます。 

プロトコルは2021年2月にEthereum上で稼働を開始し、当初100万ドル相当の融資を発行しました。バージョン1.1は2021年3月に1か月後にローンチされ、Goldfinchは数か月後にアンドリーセン・ホロウィッツから1100万ドルの資金調達を行いました。2021年10月、プラットフォームはNexus Mutualと提携し、流動性提供者および支援者がスマートコントラクト保険を購入できるようにしました。 

Coingeckoのトークンターミナルによると、Goldfinchプロトコルの完全希薄化市場時価総額は3,050万ドル、過去30日間のトークン取引高は1,240万ドル、アクティブなローンの合計は9,130万ドルです。

2023年、東アフリカのオートバイ融資会社であるTugende Kenyaは、ウガンダに拠点を置く親会社への無許可融資を行ったとして融資条件に違反したため、500万ドルの暗号ローンでデフォルトしました。

Goldfinchの親会社であるWarbler Labsは、Tugende Kenyaが親会社へ約200万ドルを流用したことを発見しました。この違反は同年12月に明らかにされましたが、会社の記録によると、2024年2月にGoldfinchのガバナンスフォーラムで報告されていました。

2024年には、シンガポール拠点のプライベートクレジット企業Lend Eastが関与する別のデフォルトが発生し、同社はGoldfinchプールからの1,015万ドルのローンのうち約425万ドルしか返済できないと述べました。この金額は返済価値の58%少なく、Goldfinchの総アクティブローンの7.7%を占めていました。 

Lend Eastプールは25年の期間を持ち、2024年4月3日に満期を迎え、17%のUSDC APYまたは28%の変動GFI APYを提供しました。Discordコミュニティのメンバーは、Goldfinchから借り入れられた75万ドルが他の借り手の返済に使用され、元の融資契約に違反したと主張しました。

12月、ハックによるDeFiプロトコルの損失を迎える

Goldfinchのハックは、Yearn FinanceのyETHが無制限のミinting違反によって攻撃され、単一のトランザクションでyETHプール全体が空にされたわずか24時間後でした。Cryptopolitanの レポートによると、攻撃者はほぼ無限のyETHトークンを生成し、約1,000 ETH（300万ドル相当）を引き出し、その後Tornado Cashにルーティングしました。

yETHは、Ethereum Liquid Staking Derivatives（LSTs）として知られる複数の流動性ステーキング版ETHに基づくインデックストークンです。この悪用はXユーザーのTogbeによって警告され、Yearn、Rocket Pool、Origin、Dineroを含むLSTsでの「大量のトランザクション」が指摘されました。

Yearn Financeは公式のXアカウントを通じてインシデントを確認しましたが、V2およびV3ボウルトは安全であるとユーザーに安心させました。これは2021年以降2回目の攻撃で、その前はYearnのyDAIボウルトの違反により280万ドルの損失が生じ、2023年12月の誤ったスクリプトによりツアーズポジションの63%が消滅しました。

ブロックチェーンセキュリティ企業CertiKは日曜日に、暗号業界が ハックと悪用 により11月に推定1億2,700万ドルの損失を被ったと報告しました。同社の月次脅威レポートによると、実際の影響を受けた資金は1億7,200万ドルを超えていましたが、約4,500万ドルは後に回収されました。