Usuário do Goldfinch Finance, deltatiger.eth, hackeado, US$ 330K roubados até agora
- Usuário do Goldfinch Finance, deltatiger.eth, perdeu $330K em uma exploração de contrato inteligente na Ethereum, com os fundos roteados através da Tornado Cash.
- O ataque explorou a função collectInterestRepayment(), permitindo saques repetidos de USDC após inflacionar os preços das ações.
- Hackes em plataformas DeFi continuam amplamente disseminados, incluindo o drenagem do yETH pela Yearn Finance, destacando riscos de segurança contínuos em protocolos descentralizados.
Um usuário identificado da plataforma DeFi baseada em Ethereum Goldfinch Finance sofreu uma exploração que levou a perdas de aproximadamente US$ 330.000, de acordo com a plataforma de segurança blockchain PeckShield.
O PeckShieldAlert relatou no X na terça-feira que o atacante do usuário Goldfinch deltatiger.eth havia enviado cerca de 118 ETH para o Tornado Cash após hackear um contrato inteligente mais antigo no Ethereum.
O contrato comprometido, identificado como 0x0689aa2234d06Ac0d04cdac874331d287aFA4B43, permitiu que o perpetrador assumisse o controle da carteira de deltatiger e drenasse os fundos.
#PeckShieldAlert @goldfinch_fi's usuário deltatiger.eth @deltatigernz foi atacado, resultando em uma perda de ~$330K.
O hacker depositou 118 $ETH dos fundos roubados no #TornadoCash.
🚨Por favor, *Revogue* aprovações para este contrato imediatamente:… pic.twitter.com/OOuv39YVU9
— PeckShieldAlert (@PeckShieldAlert) Dezembro 2, 2025
A vulnerabilidade estava na função collectInterestRepayment() do contrato, que pode transferir USDC de qualquer endereço que conceda aprovação. O atacante supostamente depositou 1.000 USDC e retirou fundos repetidamente após inflar artificialmente o preço das ações.
A PeckShield alertou os usuários a "revogar todas as aprovações no contrato" imediatamente para impedir que o hacker roubasse mais tokens enquanto continuava usando o mixer de criptomoedas Tornado Cash para lavar os roubados.
Não houve atualizações de deltatiger e Goldfinch até o momento, e nenhuma das entidades divulgou se o atacante se comunicou com elas após a exploração ter ocorrido por volta das 9:30 AM UTC hoje.
Método de empréstimo descentralizado do Goldfinch Finance questionado
O Goldfinch Finance é um protocolo de finanças descentralizadas (DeFi) apoiado por grandes players da indústria de cripto, incluindo a16z Crypto e Coinbase Ventures.
Muito diferente da maioria das plataformas de empréstimo de cripto, o Goldfinch não exige que os mutuários forneçam garantia. Em vez disso, eles podem enviar propostas de empréstimo para revisão por apoiadores e auditores, o que é então emitido se as propostas obtiverem apoio suficiente. Provedores de liquidez, apoiadores e auditores ganham juros como recompensa, enquanto os mutuários acessam capital sem postar garantia.
O protocolo foi lançado na Ethereum em fevereiro de 2021, emitindo inicialmente empréstimos no valor de US$ 1 milhão. A versão 1.1 foi lançada um mês depois, em março de 2021, e a Goldfinch levantou US$ 11 milhões em financiamento da Andreessen Horowitz meses depois. Em outubro de 2021, a plataforma fez parceria com a Nexus Mutual, permitindo que Provedores de Liquidez e Aposentadores comprassem seguros para contratos inteligentes.
De acordo com o terminal de tokens da Coingecko, o protocolo Goldfinch tem uma capitalização de mercado totalmente diluída de US$ 30,5 milhões, volume de negociação de tokens de US$ 12,4 milhões nos últimos 30 dias e empréstimos ativos totalizando US$ 91,3 milhões.
Em 2023, uma empresa de financiamento de motocicletas do leste da África chamada Tugende Kenya inadimpliu um empréstimo cripto de US$ 5 milhões após supostamente conceder um empréstimo não autorizado à sua empresa-mãe baseada em Uganda, o que violou os termos do empréstimo.
A Warbler Labs, empresa-mãe da Goldfinch, descobriu que a Tugende Kenya desviou quase US$ 2 milhões para sua empresa-mãe. A violação foi revelada em dezembro daquele ano, mas os registros da empresa mostram que foi relatada no fórum de governança da Goldfinch em fevereiro de 2024.
Outra inadimplência ocorreu em 2024, envolvendo a empresa de crédito privado Lend East, sediada em Cingapura, que disse poder reembolsar apenas cerca de US$ 4,25 milhões de um empréstimo de US$ 10,15 milhões do pool da Goldfinch. O valor foi 58% menor que o valor de reembolso e representou 7,7% dos empréstimos ativos totais da Goldfinch.
O pool da Lend East tinha um prazo de 25 meses, vencendo em 3 de abril de 2024, oferecendo 17% de APY em USDC ou 28% de APY variável em GFI. Membros da comunidade no Discord alegaram que US$ 750.000 emprestados da Goldfinch foram usados para reembolsar outros mutuários, violando o acordo de empréstimo original.
Dezembro recebe protocolos DeFi com perdas de hacks
O hack da Goldfinch ocorre a menos de 24 horas após o yETH da Yearn Finance ter sido atingido por uma violação de cunhagem ilimitada, drenando todo o pool yETH em uma única transação. De acordo com o Cryptopolitan’s relatório, os atacantes geraram tokens yETH quase infinitos, extraindo aproximadamente 1.000 ETH, valendo US$ 3 milhões, que foram então roteados através do Tornado Cash.
O yETH é um token de índice baseado em várias versões de staking líquido de ETH, conhecidas como Derivativos de Staking Líquido de Ethereum (LSTs). A exploração foi sinalizada pelo usuário do X Togbe, que notou “transações pesadas” em LSTs, incluindo Yearn, Rocket Pool, Origin e Dinero.
A Yearn Finance confirmou o incidente por meio de sua conta oficial no X, mas garantiu aos usuários que as V2 e V3 Vaults estavam seguras. Este é o segundo ataque desde 2021, quando a violação do vault yDAI da Yearn levou a uma perda de US$ 2,8 milhões, e um script defeituoso em dezembro de 2023 que eliminou 63% de uma posição de tesouraria.
A empresa de segurança blockchain CertiK relatou no domingo que a indústria de criptomoedas sofreu perdas estimadas de US$ 127 milhões devido a hacks e explorações em novembro. O relatório mensal de ameaças da empresa observou que os fundos afetados reais excederam US$ 172 milhões, embora aproximadamente US$ 45 milhões tenham sido recuperados posteriormente.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
