Goldfinch Finance 사용자 deltatiger.eth 해킹, 지금까지 33만 달러 도난

이더리움 기반 DeFi 플랫폼인 Goldfinch Finance의 식별된 사용자가 약 33만 달러의 손실을 초래하는 악의적 공격을 당했다고 블록체인 보안 플랫폼 PeckShield는 밝혔습니다.

PeckShieldAlert은 화요일 X에서 Goldfinch 사용자 deltatiger.eth의 공격자가 이더리움의 구형 스마트 계약을 해킹한 후 약 118 ETH를 Tornado Cash로 보냈다고 보고했습니다.

침해된 계약(0x0689aa2234d06Ac0d04cdac874331d287aFA4B43으로 식별됨)은 가해자가 deltatiger의 지갑을 장악하고 자금을 유출할 수 있게 했습니다.

#PeckShieldAlert @goldfinch_fi의 사용자 deltatiger.eth @deltatigernz이 공격을 받아 약 $330K의 손실이 발생했습니다.

해커는 도난 자금의 118 $ETH을 #TornadoCash에 예치했습니다.

🚨이 계약에 대한 승인을 즉시 *취소*하십시오:… pic.twitter.com/OOuv39YVU9

— PeckShieldAlert (@PeckShieldAlert) 12월 2일, 2025

취약점은 USDC를 승인한 모든 주소에서 이체할 수 있는 계약의 collectInterestRepayment() 함수에 있었습니다. 공격자는 1,000 USDC를 예치한 후 지분 가격을 인위적으로 부풀린 후 자금을 반복적으로 인출한 것으로 보고됩니다.

PeckShield는 해커가 암호화폐 믹서를 계속 사용하며 추가 토큰을 도난하는 것을 방지하기 위해 사용자들이 즉시 Tornado Cash 도난된 자금을 세탁하기 위해 

지금까지 deltatiger와 Goldfinch로부터의 업데이트는 없으며, 두 기관 모두 오늘 오전 9시 30분경 UTC에 발생한 악의적 공격 이후 공격자가 자신들과 소통했는지 여부를 공개하지 않았습니다.

Goldfinch Finance의 탈중앙화 대출 방식 문제점

Goldfinch Finance는 a16z Crypto와 Coinbase Ventures를 포함한 암호화폐 업계의 주요 주체들이 지원하는 탈중앙화 금융(DeFi) 프로토콜입니다. 

대부분의 암호화폐 대출 플랫폼과 달리, Goldfinch는 차입인에게 담보 제공을 요구하지 않습니다. 대신, 차입인은 후원자와 감사인의 검토를 위해 대출 제안서를 제출할 수 있으며, 이는 발표 제안서가 충분한 지지를 확보할 경우 실행됩니다. 유동성 제공자, 후원자 및 감사인은 보상으로 이자를 획득하는 반면, 차입인은 담보를 게시하지 않고 자본에 접근합니다. 

이 프로토콜은 2021년 2월 이더리움에서 출시되어 초기에 100만 달러 상당의 대출을 발행했습니다. 버전 1.1은 한 달 후인 2021년 3월에 출시되었으며, Goldfinch는 몇 달 후 Andreessen Horowitz로부터 1,100만 달러의 자금을 조달했습니다. 2021년 10월, 플랫폼은 Nexus Mutual과 파트너십을 맺어 유동성 제공자와 후원자가 스마트 계약 보험을 구매할 수 있도록 했습니다. 

Coingecko의 토큰 터미널에 따르면, Goldfinch 프로토콜의 완전 희석 시장 가치는 3,050만 달러이며, 지난 30일간의 토큰 거래량은 1,240만 달러, 활성 대출 총액은 9,130만 달러입니다.

2023년, Tugende Kenya라는 동아프리카 오토바이 금융 회사는 우간다 본사에 무단 대출을 제공했다는 이유로 대출 조건을 위반하여 500만 달러의 암호화폐 대출을 상환하지 못했습니다.

Goldfinch의 모회사인 Warbler Labs는 Tugende Kenya가 거의 200만 달러를 모회사로 편성했다고 발견했습니다. 이 위반은 그해 12월에 공개되었지만, 회사 기록에 따르면 2024년 2월 Goldfinch 거버넌스 포럼에 보고된 것으로 나타났습니다.

2024년에는 싱가포르 기반의 사적 신용 회사인 Lend East가 관여한 또 다른 상환 불이행 사례가 발생했습니다. Lend East는 Goldfinch 풀에서 빌린 1,015만 달러 중 약 425만 달러만 상환할 수 있다고 밝혔습니다. 이 금액은 상환 가치보다 58% 적었으며, Goldfinch의 총 활성 대출의 7.7%를 차지했습니다. 

Lend East 풀은 25개월의 기간을 가졌으며, 2024년 4월 3일에 만기되었고, 17% USDC APY 또는 28% 변동성 GFI APY를 제공했습니다. Discord 커뮤니티 구성원들은 Goldfinch에서 빌린 75만 달러가 원래 대출 계약 위반으로 다른 차입자들에게 상환하는 데 사용되었다고 주장했습니다.

12월, 해킹으로 인한 DeFi 프로토콜의 손실 소식

골드핀치의 해킹은 약 24시간 만에 이어진 사건으로, 이어른 파인낸스의 yETH가 무제한 주입 취약점으로 공격받아 단일 거래로 yETH 풀 전체가 유출되었습니다. Cryptopolitan의 보도에 따르면 보고서공격자는 거의 무한한 yETH 토큰을 생성하여 약 1,000 ETH(가치 300만 달러)를 추출했고, 이는 이후 토르나도 캐시를 통해 유동되었습니다.

yETH는 Ethereum Liquid Staking Derivatives(LSTs)로 알려진 여러 리퀴드 스테이킹 ETH 버전을 기반으로 하는 인덱스 토큰입니다. 이 취약점은 X 사용자 Togbe에 의해 발견되었으며, 그는 이어른, 로켓 풀, 오리지인, 디네로 등 LSTs에서 '대규모 거래'가 발생했다고 지적했습니다.

이어른 파인낸스는 공식 X 계정을 통해 이 사건을 확인했지만, V2 및 V3 뱅크는 안전하다고 사용자를 안심시켰습니다. 이는 2021년 이어른의 yDAI 뱅크 해킹으로 280만 달러의 손실이 발생하고, 2023년 12월 결함이 있는 스크립트로 인해 재무 위치의 63%가 소멸된 이후 두 번째 공격입니다.

블록체인 보안 기업 CertiK는 일요일에 암호화폐 산업이 해킹 및 취약점 공격으로 11월 동안 약 1억 2,700만 달러의 손실을 입었다고 보고했습니다. 해당 기업의 월간 위협 보고서에 따르면 실제 영향을 받은 자금은 1억 7,200만 달러를 초과했으나, 약 4,500만 달러가 나중에 회수되었습니다.