Goldfinch Finance 用户 deltatiger.eth 遭黑客攻击，已盗取 33 万美元

据区块链安全平台 PeckShield 称，以太坊 DeFi 平台 Goldfinch Finance 的一名已识别用户遭受漏洞攻击，损失约 33 万美元。

PeckShieldAlert 于周二在 X 上报道，Goldfinch 用户 deltatiger.eth 的攻击者在入侵以太坊上的一个旧智能合约后，已将约 118 ETH 转入 Tornado Cash。

该受损合约（地址为 0x0689aa2234d06Ac0d04cdac874331d287aFA4B43）使攻击者能够控制 deltatiger 的钱包并盗取资金。

#PeckShieldAlert @goldfinch_fi 的用户 deltatiger.eth @deltatigernz 遭遇攻击，导致约 33 万美元损失。

黑客已将被盗资金中的 118 $ETH 存入 #TornadoCash。

🚨请立即 *撤销* 对该合约的授权：… pic.twitter.com/OOuv39YVU9

— PeckShieldAlert (@PeckShieldAlert) 2月 2025日

漏洞位于合约的 collectInterestRepayment() 函数中，该函数可从任何授权地址转移 USDC。据报道，攻击者存入 1,000 USDC，并通过人为推高份额价格反复提款。

PeckShield 警告用户应立即“撤销对该合约的所有授权”，以防止黑客继续利用加密混币器窃取更多代币。 Tornado Cash 以洗钱。 

截至目前，deltatiger 和 Goldfinch 方面均无更新，双方也未披露攻击者是否在当地时间今天上午 9:30 UTC 左右实施攻击后与其取得联系。

Goldfinch Finance 的去中心化借贷机制存在缺陷

Goldfinch Finance 是一个由加密行业主要参与者支持的 decentralized finance (DeFi) 协议，其中包括 a16z Crypto 和 Coinbase Ventures。 

与大多数加密货币借贷平台不同，Goldfinch 不要求借款人提供抵押品。相反，他们可以提交贷款提案供资助方和审计员审核，随后 若提案获得足够支持，则予以批准。流动性提供者、资助方和审计员将获得利息作为回报，而借款人则可在无需抵押的情况下获取资金。 如果提案获得足够的支持。流动性提供者、支持者和审计人员赚取利息作为奖励，而借款人无需抵押即可获取资本。 

该协议于 2021 年 2 月在以太坊上正式上线，最初发放了价值 100 万美元的贷款。版本 1.1 于一个月后的 2021 年 3 月推出，几个月后 Goldfinch 从 Andreessen Horowitz 获得了 1100 万美元的融资。2021 年 10 月，该平台与 Nexus Mutual 合作，允许流动性提供者和资助方购买智能合约保险。 

根据 Coingecko 的 Token Terminal 数据，Goldfinch 协议的完全稀释市值为 3050 万美元，过去 30 天的代币交易量为 1240 万美元，活跃贷款总额达 9130 万美元。

2023 年，东非摩托车金融公司 Tugende Kenya 因涉嫌向其乌干达母公司提供未经授权的贷款而违反贷款条款，最终无法偿还一笔 500 万美元的加密货币贷款。

Warbler Labs（Goldfinch 的母公司）发现 Tugende Kenya 已将近 200 万美元转移至其母公司。该违规行为于当年 12 月被揭露，但公司记录显示，此事早在 2024 年 2 月便已在 Goldfinch 的治理论坛上被报告。

另一起违约事件发生在 2024 年，涉及总部位于新加坡的私募信贷机构 Lend East。该公司表示，从 Goldfinch 资金池中借入的 1015 万美元贷款中，仅能偿还约 425 万美元。该金额比应还款项少了 58%，占 Goldfinch 全部活跃贷款的 7.7%。 

Lend East 资金池的期限为 25 个月，将于 2024 年 4 月 3 日到期，提供 17% 的 USDC APY 或 28% 的可变 GFI APY。Discord 社区成员指控，其中 75 万美元的借款被用于偿还其他借款人，违反了原始贷款协议。

12 月：DeFi 协议遭遇黑客攻击导致损失

Goldfinch 的漏洞事件发生在 Yearn Finance 的 yETH 遭受无限铸造攻击后的不到 24 小时内，该攻击通过单笔交易清空了整个 yETH 资金池。据 Cryptopolitan 报道 报告, 攻击者生成了近乎无限的 yETH 代币，提取了约 1,000 ETH（价值 300 万美元），随后通过 Tornado Cash 进行洗钱。

yETH 是一种基于多种以太坊流动性质押衍生品（LSTs）的指数代币，这些 LSTs 包括多个版本的 ETH 流动性质押产品。此次漏洞由 X 用户 Togbe 发现，他指出在包括 Yearn、Rocket Pool、Origin 和 Dinero 在内的 LST 上出现了“大量交易”。

Yearn Finance 通过其官方 X 账号确认了该事件，但保证 V2 和 V3 金库是安全的。这是自 2021 年以来的第二次攻击：当年 Yearn 的 yDAI 金库遭入侵导致损失 280 万美元；此外，2023 年 12 月因脚本错误导致其国库头寸损失了 63%。

区块链安全公司 CertiK 于周日报告称，加密货币行业在 黑客攻击和漏洞利用事件 中估计损失达 1.27 亿美元。该公司月度威胁报告显示，实际受影响资金超过 1.72 亿美元，但其中约 4,500 万美元后来被追回。