Un pirate informatique de Voltage Finance transfère 182 000 $ en ETH vers Tornado Cash

Un pirate informatique lié à l'exploitation de la faille de sécurité de Voltage Finance en 2022, un protocole de prêt décentralisé basé sur le réseau Fuse, a transféré une part importante des fonds volés après plusieurs mois d'inactivité. La société de sécurité blockchain CertiK a révélé le 6 mai que le pirate avait transféré 100 ethers, d'une valeur approximative de 182 783 dollars, via le service de mixage de cryptomonnaies Tornado Cash.

D'après l'enquête de CertiK, l'adresse du portefeuille utilisée pour la transaction était inactive depuis 166 jours, sans aucun mouvement depuis novembre. Cette adresse est liée à l'exploitation initiale de la faille et permet de tracà des activités antérieures du pirate. 

#CertiKInsight 🚨

Notre système d'alerte a détecté de @TornadoCash
de 100 ETH provenant de 0xCF4823dA7271fdedBe103500d8E197Bdca224B6d.

Ce fonds tracd'une opération de Voltage Finance d'environ 4 millions de dollars
sur Fuse en mars 2022.

Restez vigilants ! pic.twitter.com/eyqH1HbN3F

— Alerte CertiK (@CertiKAlert) 6 mai 2025

La société de sécurité blockchain a également expliqué que le pirate informatique avait utilisé Tornado Cash, sanctionné par le Trésor américain en 2022 pour avoir facilité le blanchiment d'argent, afin de masquer les transactions blockchain et d'empêcher les enquêteurs de tracles mouvements de fonds.

Exploitation originale de Voltage Finance de 2022

Voltage a été piraté le 31 mars 2022 et le pirate a dérobé environ 4,67 millions de dollars en jetons numériques. Il aurait exploité une vulnérabilité de la norme de jeton ERC677 via une fonction de rappel intégrée. Cette fonction lui a permis de mener une attaque par réentrance et de vider ainsi le pool de prêts de la plateforme.

Dans la phase initiale de l'attaque, le coupable a utilisé un prêt flash de 515 Wrapped Ether (WETH) de la paire WETH-WBTC sur Voltage Finance pour lancer l' exploitation. 

Voltage Finance fonctionne comme un protocole décentralisé permettant le trading automatisé de tokens sur le réseau Fuse. L'attaquant a exploité cette infrastructure en manipulant lestracintelligents de la plateforme à l'aide de tokens encapsulés et de prêts flash. 

Ola Finance, le réseau multiprotocole qui prend en charge Voltage, a publié une analyse post-incident deux jours après l'dent , révélant que la faille était spécifique à son déploiement Fuse. Les développeurs ont indiqué que des attaques similaires n'affecteraient pas les autres réseaux de prêt de l'écosystème Ola. 

Au total, l'attaquant a siphonné 216 964,18 USDC, 507 216,68 BUSD, 200 000 fUSD, 550,45 Wrapped Ether (wETH), 26,25 Wrapped Bitcoin (wBTC) et 1 240 000 jetons FUSE. 

«Lors de transactions ultérieures, l’attaquant a évité un prêt éclair en utilisant les fonds déjà volés», a indiqué Ola dans son rapport.

Une autre faille de sécurité est exploitée en mars 2025

Voltage Finance a de nouveau été victime d'une cyberattaque le 18 mars dernier, concernant ses pools de staking Simple Staking. Cette fois-ci, le retrait non autorisé a entraîné le vol de 171 027,20 $ en USDCE et de 151 085,87 $ en wETH. La plateforme a suspendu les activités sur le pool afin d'enrayer le pillage des fonds et a déclaré « travailler d'arrache-pied pourdentle pirate »

D'après un article de Voltage Finance publié sur Medium le 20 mars, l'attaque a débuté lorsqu'un second individu non identifié, désigné comme l'Attaquant 2, a retiré des ETH de la plateforme d'échange de cryptomonnaies HTX. L'Attaquant 2 a ensuite transféré les actifs volés à l'Attaquant 1, qui a utilisé cet argent pour acheter des jetons FUSE via ChangeNow, connecté au réseau par l'intermédiaire de LayerZero.

De là, les actifs volés ont été transférés vers Ethereum et déplacés à travers plusieurs portefeuilles et transactions. Les fonds ont ensuite été transmis de l'attaquant 1 à l'attaquant 3, qui a reçu des fonds supplémentaires via SimpleSwap. 

L'attaquant 3 a déposé certains des jetons sur la plateforme d'échange KuCoin, mais en a échangé et retiré d'autres au premier pirate informatique pour boucler la boucle de blanchiment.

«Vos transactions étant passées par KuCoin, nous avons entamé une collaboration pourdent. Nous privilégions un règlement à l'amiable. Une prime de 50 000 $ est offerte pour la restitution de l'intégralité des fonds», a déclaré Voltage Finance au pirate informatique dans sa publication

D'après un récent rapport de la société de sécurité blockchain Immunefi, les pertes dues aux piratages et aux failles de sécurité liés aux cryptomonnaies ont atteint 1,74 milliard de dollars depuis le début de l'année, dépassant déjà le total de 1,49 milliard de dollars enregistré pour l'ensemble de l'année 2024. Le total cumulé depuis le début de l'année 2025 représente une augmentation de près de quatre fois par rapport aux 420 millions de dollars enregistrés au cours de la même période en 2024.