- Un hacker dormiente legato all'exploit del 2022 di Voltage Finance ha spostato 182K di ETH attraverso Tornado Cash dopo 166 giorni di inattività.
- Voltage Finance ha subito un secondo exploit a marzo 2025, con oltre 320.000 $ prelevati dai suoi pool di staking tramite un contratto proxy compromesso.
- Gli hack legati alle criptovalute nel 2025 hanno già raggiunto 1,74 miliardi di dollari, superando il record dell'anno scorso, con incidenti gravi che coinvolgono UPCX, KiloEx e altri.
Un hacker legato all'exploit del 2022 di Voltage Finance, un protocollo di prestito decentralizzato costruito sulla rete Fuse, ha spostato una parte significativa dei fondi rubati dopo mesi di inattività. La società di sicurezza blockchain CertiK ha rivelato il 6 maggio che l'hacker ha trasferito 100 Ether, valutati circa 182.783 dollari, attraverso il servizio di mixing cripto Tornado Cash.
Secondo l'indagine di CertiK, l'indirizzo del wallet utilizzato nella transazione era inattivo per 166 giorni, senza movimenti da novembre. L'indirizzo è collegato all'exploit originale e può essere ricondotto ad attività precedenti dell'hacker.
Il nostro sistema di allerta ha rilevato @TornadoCash
depositi di 100 ETH da 0xCF4823dA7271fdedBe103500d8E197Bdca224B6d.I fondi risalgono a ~$4M dell'exploit di Voltage Finance
su Fuse risalente a marzo 2022.Rimani Vigile! pic.twitter.com/eyqH1HbN3F
— CertiK Alert (@CertiKAlert) Maggio 6, 2025
La società di sicurezza blockchain ha anche spiegato che l'hacker ha utilizzato Tornado Cash, che è stato sanzionato dal Tesoro degli Stati Uniti nel 2022 per aver facilitato il riciclaggio di denaro, per oscurare le transazioni blockchain e impedire agli investigatori di tracciare i movimenti dei fondi.
Exploit originale di Voltage 2022
Voltage è stato hackerato il 31 marzo 2022 e l'hacker si è portato via circa 4,67 milioni di dollari in token digitali. Si dice che abbia sfruttato una vulnerabilità in uno standard di token, ERC677, attraverso una funzione di callback integrata. La funzione gli ha permesso di eseguire un attacco di reentrancy per drenare con successo i fondi dal pool di prestito della piattaforma.
Nella fase iniziale dell'attacco, il colpevole ha utilizzato un prestito flash di 515 Wrapped Ether (WETH) dalla coppia WETH-WBTC su Voltage Finance per avviare l' exploit.
Voltage Finance opera come un protocollo decentralizzato che abilita il trading automatizzato di token sulla rete Fuse. L'attaccante ha sfruttato questa infrastruttura manipolando gli smart contract della piattaforma utilizzando token avvolto e prestiti flash.
Ola Finance, la rete multi-protocollo che supporta Voltage, ha emesso un post-mortem due giorni dopo l'incidente che mostrava come l'exploit fosse specifico per la sua implementazione su Fuse. Gli sviluppatori hanno dichiarato che attacchi simili non avrebbero interessato altre reti di prestito sotto l'ecosistema di Ola.
In totale, l'attaccante ha sottratto 216.964,18 USDC, 507.216,68 BUSD, 200.000 fUSD, 550,45 Wrapped Ether (wETH), 26,25 Wrapped Bitcoin (wBTC) e 1.240.000 token FUSE.
“Nelle transazioni successive, l'attaccante ha evitato un prestito flash utilizzando i fondi che erano già stati rubati,” ha dichiarato Ola nel suo rapporto.
Un altro exploit a marzo 2025
Voltage Finance è stata colpita di nuovo in un exploit separato il 18 marzo di quest'anno, che coinvolgeva i suoi pool di Simple Staking. Questa volta, il prelievo non autorizzato ha portato al furto di 171.027,20 dollari in USDCE e 151.085,87 dollari in wETH. La piattaforma ha sospeso le attività nel pool per fermare il drenaggio dei fondi e ha dichiarato di "lavorare urgentemente per identificare l'hacker."
Secondo un articolo su Medium di marzo 20 rapporto di Voltage Finance, l'attacco è iniziato quando una seconda parte sconosciuta, indicata come Attaccante 2, ha prelevato ETH dallo scambio cripto HTX. L'Attaccante 2 ha trasferito le attività rubate all'Attaccante 1, che ha usato i soldi per acquistare token FUSE tramite ChangeNow, facendoli passare sulla rete attraverso LayerZero.
Da lì, le attività rubate sono state trasferite di nuovo su Ethereum e spostate attraverso diversi wallet e transazioni. I fondi sono poi stati passati dall'Attaccante 1 all'Attaccante 3, che ha ricevuto fondi aggiuntivi tramite SimpleSwap.
L'Attaccante 3 ha depositato alcuni dei token nello scambio KuCoin, ma ha scambiato e prelevato altri token di nuovo al primo hacker per completare il ciclo di riciclaggio.
“Poiché le tue transazioni sono passate attraverso KuCoin, abbiamo avviato la cooperazione per identificarti. Preferiamo risolvere questa situazione pacificamente. Offriamo una ricompensa di 50.000 dollari per il ritorno di tutti i fondi,,” ha detto Voltage Finance all'hacker nel suo post su X post.
Secondo un recente rapporto della società di sicurezza blockchain Immunefi, le perdite derivanti da hack ed exploit legati alle criptovalute hanno raggiunto 1,74 miliardi di dollari finora quest'anno, superando già il totale di 1,49 miliardi registrato in tutto il 2024. Il totale anno corrente 2025 è un aumento di quasi quattro volte rispetto ai 420 milioni di dollari ha riportato durante lo stesso periodo in 2024.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Florence Muchai
Florence si occupa di notizie relative a criptovalute, gaming, tecnologia e AI da oltre 6 anni. I suoi studi in Informatica presso l'Università Meru di Scienze e Tecnologia e in Gestione delle Emergenze e Diplomazia Internazionale presso il MMUST le hanno fornito eccellenti competenze linguistiche, osservative e tecniche. Florence ha lavorato al VAP Group e come editor per diverse testate specializzate in criptovalute.
