L'hacker di Voltage Finance sposta 182.000 $ in ETH a Tornado Cash

Un hacker legato all'exploit del 2022 di Voltage Finance, un protocollo di prestito decentralizzato basato sulla rete Fuse, ha trasferito una parte significativa dei fondi rubati dopo mesi di inattività. La società di sicurezza blockchain CertiK ha rivelato il 6 maggio che l'hacker ha trasferito 100 Ether, per un valore di circa 182.783 dollari, tramite il servizio di mixaggio di criptovalute Tornado Cash.

Secondo l'indagine di CertiK, l'indirizzo del wallet utilizzato nella transazione è rimasto inattivo per 166 giorni, senza alcun movimento da novembre. L'indirizzo è collegato all'exploit originale e può essere traca precedenti attività che hanno coinvolto l'hacker. 

#CertiKInsight 🚨

Il nostro sistema di avviso ha rilevato @TornadoCash
pari a 100 ETH da 0xCF4823dA7271fdedBe103500d8E197Bdca224B6d.

Il fondo tracdi Voltage Finance da circa 4 milioni di dollari
su Fuse risalente a marzo 2022.

Restate vigili! pic.twitter.com/eyqH1HbN3F

— CertiK Alert (@CertiKAlert) 6 maggio 2025

L'azienda di sicurezza blockchain ha anche spiegato che l'hacker ha utilizzato Tornado Cash, sanzionato dal Tesoro degli Stati Uniti nel 2022 per aver facilitato il riciclaggio di denaro, per oscurare le transazioni blockchain e impedire agli investigatori di traci movimenti dei fondi.

Exploit originale di Voltage Finance del 2022

Voltage è stata hackerata il 31 marzo 2022 e l'hacker ha rubato circa 4,67 milioni di dollari in token digitali. Secondo quanto riferito, hanno sfruttato una vulnerabilità in uno standard di token, ERC677, tramite una funzione di callback integrata. La funzione ha permesso loro di eseguire un attacco di reentrancy per drenare con successo fondi dal pool di prestiti della piattaforma.

Nella fase iniziale dell'attacco, il colpevole ha utilizzato un prestito flash di 515 Wrapped Ether (WETH) dalla coppia WETH-WBTC su Voltage Finance per avviare l' exploit. 

Voltage Finance opera come protocollo decentralizzato che consente il trading automatico di token sulla rete Fuse. L'aggressore ha sfruttato questa infrastruttura manipolando gli smarttracdella piattaforma utilizzando token wrappati e prestiti flash. 

Ola Finance, la rete multiprotocollo che supporta Voltage, ha pubblicato un'analisi -incidente due giorni dopo,dent dalla quale è emerso che la vulnerabilità era specifica della sua implementazione Fuse. Gli sviluppatori hanno dichiarato che attacchi simili non avrebbero interessato altre reti di prestito all'interno dell'ecosistema di Ola. 

In totale, l'aggressore ha sottratto 216.964,18 USDC, 507.216,68 BUSD, 200.000 fUSD, 550,45 Wrapped Ether (wETH), 26,25 Wrapped Bitcoin (wBTC) e 1.240.000 token FUSE. 

"Nelle transazioni successive, l'aggressore ha evitato un prestito flash utilizzando i fondi che erano già stati rubati", ha dichiarato Ola nel suo rapporto.

Un altro exploit colpisce nel marzo 2025

Voltage Finance è stata nuovamente colpita da un altro exploit il 18 marzo di quest'anno, che ha coinvolto i suoi pool Simple Staking. Questa volta, il prelievo non autorizzato ha portato al furto di 171.027,20 dollari in USDCE e 151.085,87 dollari in wETH. La piattaforma ha sospeso le attività sul pool per fermare il drenaggio di fondi e ha affermato di "lavorare urgentemente perdentl'hacker"

Secondo un rapporto di Voltage Finance pubblicato su Medium il 20 marzo, l'attacco è iniziato quando una seconda parte sconosciuta, denominata "Attaccante 2", ha prelevato ETH dall'exchange di criptovalute HTX. L'Attaccante 2 ha trasferito i beni rubati all'Attaccante 1, che ha utilizzato il denaro per acquistare token FUSE tramite ChangeNow, collegati alla rete tramite LayerZero.

Da lì, i beni rubati venivano ritrasferiti a Ethereum e spostati attraverso diversi portafogli e transazioni. I fondi venivano poi trasferiti dall'Attaccante 1 all'Attaccante 3, che riceveva fondi aggiuntivi tramite SimpleSwap. 

L'aggressore 3 ha depositato alcuni token nell'exchange KuCoin, ma ne ha scambiati e ritirati altri al primo hacker per completare il ciclo di riciclaggio.

"Dato che le tue transazioni sono passate attraverso KuCoin, abbiamo avviato una collaborazione per identificartidentPreferiamo risolvere questa situazione pacificamente. Offriamo una ricompensa di 50.000 dollari per la restituzione di tutti i fondi", ha dichiarato Voltage Finance all'hacker nel suo post

Secondo un recente rapporto della società di sicurezza blockchain Immunefi, le perdite derivanti da attacchi informatici e exploit legati alle criptovalute hanno raggiunto 1,74 miliardi di dollari quest'anno, superando già il totale di 1,49 miliardi di dollari registrato in tutto il 2024. Il totale da inizio anno al 2025 è quasi quadruplicato rispetto ai 420 milioni di dollari registrati nello stesso periodo del 2024.