Le hacker de Voltage Finance déplace $182K en ETH vers Tornado Cash

Un hacker lié à l'exploitation de 2022 de Voltage Finance, un protocole de prêt décentralisé construit sur le réseau Fuse, a déplacé une partie significative des fonds volés après des mois d'inactivité. La société de sécurité blockchain CertiK a révélé le 6 mai que le hacker avait transféré 100 Ether, d'une valeur d'environ 182 783 dollars, via le service de mélange de cryptomonnaies Tornado Cash.

Selon l'enquête de CertiK, l'adresse de portefeuille utilisée dans la transaction était inactive pendant 166 jours, sans aucun mouvement depuis novembre. L'adresse est liée à l'exploitation initiale et peut être retracée jusqu'à des activités antérieures impliquant le hacker. 

#CertiKInsight 🚨

Notre système d'alerte a détecté @TornadoCash
des dépôts de 100 ETH depuis 0xCF4823dA7271fdedBe103500d8E197Bdca224B6d.

Les fonds proviennent de l'exploitation de ~$4M de Voltage Finance
sur Fuse en mars 2022.

Restez Vigilants ! pic.twitter.com/eyqH1HbN3F

— CertiK Alert (@CertiKAlert) mai 6, 2025

La société de sécurité blockchain a également expliqué que le hacker a utilisé Tornado Cash, qui a été sanctionné par le Trésor américain en 2022 pour avoir facilité le blanchiment d'argent, afin d'obscurcir les transactions blockchain et d'empêcher les enquêteurs de tracer les mouvements de fonds.

Exploitation initiale de Voltage 2022

Voltage a été piraté le 31 mars 2022, et le hacker s'est enfui avec une estimation de 4,67 millions de dollars en jetons numériques. Ils auraient profité d'une vulnérabilité dans une norme de jeton, l'ERC677, via une fonction de rappel intégrée. Cette fonction leur a permis d'exécuter une attaque de réentrance pour vider avec succès les fonds du pool de prêt de la plateforme.

Dans la phase initiale de l'attaque, le coupable a utilisé un prêt flash de 515 Ether enveloppé (WETH) du couple WETH-WBTC sur Voltage Finance pour initier l' exploitation. 

Voltage Finance fonctionne en tant que protocole décentralisé permettant le trading automatisé de jetons sur le réseau Fuse. L'attaquant a exploité cette infrastructure en manipulant les contrats intelligents de la plateforme à l'aide de jetons enveloppés et de prêts flash. 

Ola Finance, le réseau multi-protocole qui prend en charge Voltage, a émis un post-mortem deux jours après l'incident qui montrait que l'exploitation était spécifique à son déploiement sur Fuse. Les développeurs ont déclaré que des attaques similaires n'affecteraient pas les autres réseaux de prêt sous l'écosystème d'Ola. 

Au total, l'attaquant a soutiré 216 964,18 USDC, 507 216,68 BUSD, 200 000 fUSD, 550,45 Ether enveloppé (wETH), 26,25 Bitcoin enveloppé (wBTC) et 1 240 000 jetons FUSE. 

“Dans des transactions ultérieures, l'attaquant a évité un prêt flash en utilisant les fonds qui avaient déjà été volés,” a déclaré Ola dans son rapport.

Une autre exploitation frappe en mars 2025

Voltage Finance a été touché à nouveau lors d'une exploitation séparée le 18 mars de cette année, impliquant ses pools de staking simple. Cette fois, le retrait non autorisé a conduit au vol de 171 027,20 dollars en USDCE et de 151 085,87 dollars en wETH. La plateforme a mis en pause les activités du pool pour arrêter la vidange des fonds, et a déclaré qu'elle « travaillait urgemment à identifier le hacker ».

Selon un article de mars 20 sur Medium rapport de Voltage Finance, l'attaque a commencé lorsqu'une deuxième partie inconnue, appelée Attacker 2, a retiré de l'ETH de l'échange de cryptomonnaies HTX. Attacker 2 a transféré les actifs volés à Attacker 1, qui a utilisé l'argent pour acheter des jetons FUSE via ChangeNow, les a fait passer sur le réseau via LayerZero.

À partir de là, les actifs volés ont été transférés sur Ethereum et déplacés à travers plusieurs portefeuilles et transactions. Les fonds ont ensuite été transmis d'Attacker 1 à Attacker 3, qui a reçu des fonds supplémentaires via SimpleSwap. 

Attacker 3 a déposé une partie des jetons sur l'échange KuCoin, mais a échangé et retiré d'autres jetons vers le premier hacker pour compléter la boucle de blanchiment.

“Puisque vos transactions sont passées par KuCoin, nous avons initié une coopération pour vous identifier. Nous préférons résoudre cette situation pacifiquement. Nous offrons une prime de 50 000 $ en cas de retour de tous les fonds,,” a déclaré Voltage Finance au hacker dans son X post.

Selon un rapport récent de la société de sécurité blockchain Immunefi, les pertes liées aux piratages et exploitations de cryptomonnaies ont atteint 1,74 milliard de dollars cette année, dépassant déjà le total de 1,49 milliard de dollars enregistré en 2024. Le total de l'année 2025 à ce jour représente une augmentation de près de quatre fois par rapport aux 420 millions de dollars a rapporté pendant la même période en 2024.