Tornado Cash frappe Goldfinch Finance : 330 000 $ évaporés via deltatiger.eth

Un utilisateur de la plateforme de prêt décentralisée Goldfinch Finance vient de subir une perte sèche de 330 000 $. Les fonds, préalablement blanchis via le mélangeur Tornado Cash, ont disparu du portefeuille Ethereum deltatiger.eth.

Le schéma classique

L'affaire suit un scénario désormais familier dans la DeFi. Des actifs, souvent issus d'activités douteuses, transitent par un service de confidentialité comme Tornado Cash pour brouiller les pistes. Une fois « nettoyés », ils sont déployés sur des protocoles légitimes pour le yield farming ou comme garantie – jusqu'à ce qu'une transaction inattendue les fasse disparaître.

Qui est derrière deltatiger.eth ?

L'identité réelle de l'utilisateur derrière l'adresse Ethereum reste un mystère. Le lien avec Tornado Cash jette une ombre sur l'origine des fonds et complique toute tentative de recours ou d'enquête. Les protocoles DeFi, construits sur la transparence des blockchains mais aussi sur l'anonymat des portefeuilles, restent un terrain de jeu risqué pour les capitaux opaques.

La sécurité, toujours en retard d'une guerre

L'incident souligne le défi permanent de la sécurité on-chain. Les audits se concentrent sur le code du smart contract, pas sur la provenance des fonds qui y entrent. Une fois de plus, la promesse d'une finance « sans confiance » se heurte à la vieille maxime du secteur : si la provenance des fonds est trop belle pour être vraie, elle l'est probablement. Un rappel coûteux que dans la finance, qu'elle soit traditionnelle ou décentralisée, la première règle est de savoir d'où vient l'argent – surtout quand il s'évapore.

La méthode de prêt décentralisée de Goldfinch Finance a été critiquée.

Goldfinch Finance est un protocole de finance décentralisée (DeFi) soutenu par des acteurs majeurs de l'industrie crypto, notamment a16z Crypto et Coinbase Ventures. 

Contrairement à la plupart des plateformes de prêt crypto, Goldfinch n'exige pas de garantie de la part des emprunteurs. Ces derniers peuvent soumettre des demandes de prêt à des investisseurs et des auditeurs, qui les accordent si elles obtiennent un soutien suffisant. Les fournisseurs de liquidités, les investisseurs et les auditeurs perçoivent des intérêts, tandis que les emprunteurs accèdent aux capitaux sans fournir de garantie.

Le protocole a été lancé sur Ethereum en février 2021, avec l'octroi initial de prêts d'une valeur d'un million de dollars. La version 1.1 a été lancée un mois plus tard, en mars 2021, et Goldfinch a levé 11 millions de dollars auprès d'Andreessen Horowitz quelques mois plus tard. En octobre 2021, la plateforme s'est associée à Nexus Mutual, permettant aux fournisseurs de liquidités et aux investisseurs de souscrire une assurance-tracintelligent. 

Selon le terminal de jetons de Coingecko, le protocole Goldfinch affiche une capitalisation boursière entièrement diluée de 30,5 millions de dollars, un volume d'échanges de jetons de 12,4 millions de dollars au cours des 30 derniers jours et des prêts actifs totalisant 91,3 millions de dollars.

En 2023, une société de financement de motos d'Afrique de l'Est nommée Tugende Kenya a fait défaut sur un prêt en cryptomonnaie de 5 millions de dollars après avoir prétendument accordé un prêt non autorisé à sa société mère basée en Ouganda, ce qui a violé les conditions du prêt.

Warbler Labs, la société mère de Goldfinch, a découvert que Tugende Kenya avait détourné près de 2 millions de dollars au profit de sa maison mère. La fraude a été révélée en décembre de la même année, mais les archives de l'entreprise montrent qu'elle a été signalée au forum de gouvernance de Goldfinch en février 2024.

Un autre défaut de paiement est survenu en 2024, impliquant la société de crédit privée singapourienne Lend East, qui a déclaré ne pouvoir rembourser qu'environ 4,25 millions de dollars sur un prêt de 10,15 millions de dollars contracté auprès du fonds Goldfinch. Ce montant était inférieur de 58 % à la valeur de remboursement prévue et représentait 7,7 % du total des prêts actifs de Goldfinch. 

Le prêt Lend East, d'une durée de 25 mois et arrivant à échéance le 3 avril 2024, offrait un taux annuel effectif global (TAEG) de 17 % en USDC ou de 28 % en GFI (taux variable). Des membres de la communauté Discord ont affirmé que 750 000 $ empruntés auprès de Goldfinch avaient été utilisés pour rembourser d'autres emprunteurs, en violation du contrat de prêt initial.

En décembre, les protocoles DeFi subissent des pertes suite à des piratages.

Le piratage de Goldfinch survient à peine 24 heures après la faille de sécurité qui a touché le yETH de Yearn Finance, vidant la totalité du pool de yETH en une seule transaction. Selon un rapport , les attaquants ont généré une quantité quasi infinie de jetons yETH, trac environ 1 000 ETH, soit 3 millions de dollars, qui ont ensuite été transférés via Tornado Cash .

yETH est un jeton indexé basé sur plusieurs versions d'ETH en staking liquide, connues sous le nom de produits dérivés de staking liquide ethereum (LST). La faille a été signalée par l'utilisateur Togbe de X, qui a constaté des transactions importantes sur des LST, notamment sur Yearn, Rocket Pool, Origin et Dinero.

Yearn Finance a confirmé l'dent via son compte X officiel, mais a assuré aux utilisateurs que les coffres-forts V2 et V3 étaient sécurisés. Il s'agit de la deuxième attaque depuis 2021, date à laquelle la faille de sécurité du coffre-fort yDAI de Yearn avait entraîné une perte de 2,8 millions de dollars, et d'une autre, en décembre 2023, due à un script défectueux, qui avait anéanti 63 % des avoirs de la trésorerie.

La société CertiK, spécialisée dans la sécurité des blockchains, a indiqué dimanche que le secteur des cryptomonnaies avait subi des pertes estimées à 127 millions de dollars en novembre, suite à des piratages et des exploitations de failles de sécurité . Son rapport mensuel sur les menaces précise que les fonds réellement touchés ont dépassé 172 millions de dollars, même si environ 45 millions ont pu être récupérés par la suite.

de trading crypto premium pendant 30 jours - normalement 100 $/mois.