Пользователь Goldfinch Finance deltatiger.eth взломан, украдено 330 тыс. долларов

Идентифицированный пользователь децентрализованной финансовой платформы Goldfinch Finance на базе Ethereum подвергся эксплуатации, что привело к убыткам примерно в 330 000 долларов, согласно платформе безопасности блокчейна PeckShield.

PeckShieldAlert сообщил в X во вторник, что атакующий пользователя Goldfinch deltatiger.eth отправил около 118 ETH в Tornado Cash после взлома старого смарт-контракта в Ethereum.

Скомпрометированный контракт, идентифицированный как 0x0689aa2234d06Ac0d04cdac874331d287aFA4B43, позволил злоумышленнику взять под контроль кошелек deltatiger и опустошить средства.

#PeckShieldAlert @goldfinch_fi пользователь deltatiger.eth @deltatigernz подвергся атаке, что привело к потере ~$330K.

Хакер внес 118 $ETH украденных средств в #TornadoCash.

🚨Немедленно *отзовите* разрешения для этого контракта:… pic.twitter.com/OOuv39YVU9

— PeckShieldAlert (@PeckShieldAlert) Декабрь 2, 2025

Уязвимость заключалась в функции collectInterestRepayment() контракта, которая может переводить USDC с любого адреса, предоставившего разрешение. Сообщается, что атакующий внес 1000 USDC и неоднократно выводил средства после искусственного завышения цены акции.

PeckShield предупредил пользователей немедленно «отозвать все разрешения на контракте», чтобы предотвратить кражу дополнительных токенов хакером, который продолжал использовать крипто-миксер Tornado Cash для отмывания украденных средств. 

На данный момент не было обновлений от deltatiger и Goldfinch, и ни одна из сторон не раскрыла информацию, связывался ли с ними атакующий после эксплуатации, произошедшей примерно в 9:30 утра по UTC сегодня.

Метод децентрализованного кредитования Goldfinch Finance подвергся критике

Goldfinch Finance — это протокол децентрализованных финансов (DeFi), поддерживаемый крупными игроками в индустрии криптовалют, включая a16z Crypto и Coinbase Ventures. 

В отличие от большинства платформ криптовалютного кредитования, Goldfinch не требует от заемщиков предоставления обеспечения. Вместо этого они могут подавать заявки на кредиты для рассмотрения бэкерами и аудиторами, что выпущенному если заявки получат достаточную поддержку. Поставщики ликвидности, бэкеры и аудиторы получают процент в качестве вознаграждения, в то время как заемщики получают доступ к капиталу без предоставления обеспечения. 

Протокол вышел на Ethereum в феврале 2021 года, первоначально выпустив кредиты на сумму 1 млн долларов. Версия 1.1 была запущена месяцем позже в марте 2021 года, и Goldfinch привлек 11 млн долларов финансирования от Andreessen Horowitz несколькими месяцами позже. В октябре 2021 года платформа заключила партнерство с Nexus Mutual, позволив поставщикам ликвидности и бэкерам покупать страхование смарт-контрактов. 

Согласно терминалу токенов Coingecko, полностью разводненная рыночная капитализация протокола Goldfinch составляет 30,5 млн долларов, объем торгов токеном за последние 30 дней — 12,4 млн долларов, а активные кредиты в сумме составляют 91,3 млн долларов.

В 2023 году кенийская компания по финансированию мотоциклов Tugende Kenya допустила дефолт по крипто-кредиту в размере 5 млн долларов после того, как, как сообщается, предоставила несанкционированный кредит своей компании-матери в Уганде, что нарушило условия кредита.

Warbler Labs, материнская компания Goldfinch, обнаружила, что Tugende Kenya перевела почти 2 млн долларов своей материнской фирме. Нарушение было раскрыто в декабре того же года, но записи компании показывают, что оно было сообщено на форуме управления Goldfinch в феврале 2024 года.

Еще один дефолт произошел в 2024 году с участием сингапурской частной кредитной компании Lend East, которая заявила, что сможет погасить только около 4,25 млн долларов из кредита в 10,15 млн долларов из пула Goldfinch. Эта сумма на 58% меньше стоимости погашения и составила 7,7% от общего объема активных кредитов Goldfinch. 

Пул Lend East имел срок 25 месяцев, истекающий 3 апреля 2024 года, предлагая 17% APY в USDC или 28% переменного APY в GFI. Участники сообщества Discord утверждали, что 750 000 долларов, заимствованных у Goldfinch, были использованы для погашения других заемщиков, что нарушило первоначальное кредитное соглашение.

Декабрь встречает протоколы DeFi с убытками от взломов

Взлом Goldfinch произошел менее чем через 24 часа после того, как yETH от Yearn Finance подвергся бреши неограниченной чеканки, опустошив весь пул yETH в одной транзакции. Согласно Cryptopolitan’s отчете, злоумышленники сгенерировали почти бесконечное количество токенов yETH, извлекая примерно 1000 ETH, стоимостью 3 млн долларов, которые затем были направлены через Tornado Cash.

yETH — это индексный токен, основанный на нескольких версиях ликвидно-стейкингового ETH, известных как деривативы ликвидного стейкинга Ethereum (LST). Эксплуатация была обнаружена пользователем X Togbe, который отметил «тяжелые транзакции» на LST, включая Yearn, Rocket Pool, Origin и Dinero.

Yearn Finance подтвердил инцидент через свой официальный аккаунт в X, но заверил пользователей, что хранилища V2 и V3 безопасны. Это вторая атака с 2021 года, когда взлом хранилища yDAI от Yearn привел к убыткам в 2,8 млн долларов, а ошибочный скрипт в декабре 2023 года уничтожил 63% позиции казначейства.

Фирма по безопасности блокчейна CertiK сообщила в воскресенье, что криптоиндустрия понесла оценочные убытки в размере 127 млн долларов от взломов и эксплуатаций в ноябре. Ежемесячный отчет о угрозах компании отметил, что фактические затронутые средства превысили 172 млн долларов, хотя примерно 45 млн долларов были позже восстановлены.