Voltage Financeのハッカーが18万2千ドル相当のETHをTornado Cashに移動

Fuseネットワーク上に構築された分散型融資プロトコル「Voltage Finance」の2022年の脆弱性攻撃に関与したハッカーが、数ヶ月にわたる活動停止の後、盗まれた資金の大部分を移動させた。ブロックチェーンセキュリティ企業CertiKは5月6日、ハッカーが暗号資産ミキシングサービス「Tornado Cashを通じて、約18万2783ドル相当の100イーサを送金したことを明らかにした。.

CertiKの調査によると、取引に使用されたウォレットアドレスは166日間使用されず、11月以降は動きがありませんでした。このアドレスは元のエクスプロイトにリンクされており、ハッカーが関与した以前の活動まで tracことができます。. 

#CertiKInsight 🚨

当社のアラートシステムは、 @TornadoCash
0xCF4823dA7271fdedBe103500d8E197Bdca224B6d からの 100 ETH の

この資金 tracVoltage Financeが
Fuseで行った約400万ドルの搾取

警戒を怠らないでください！ pic.twitter.com/eyqH1HbN3F

— CertiK Alert (@CertiKAlert) 2025年5月6日

ブロックチェーンセキュリティ企業はまた、ハッカーがブロックチェーン取引を隠蔽し、捜査官が資金の動きを tracのを防ぐために、マネーロンダ Cashを助長したとして2022年に米財務省から制裁を受けたトルネードキャッシュを使用したと説明した。.

Voltage Finance オリジナル 2022 エクスプロイト

Voltageは2022年3月31日にハッキングを受け、ハッカーは推定467万ドル相当のデジタルトークンを盗み出しました。報道によると、ハッカーはトークン規格ERC677の脆弱性を、組み込みのコールバック関数を通じて悪用しました。この関数により、ハッカーはリエントラント攻撃を実行し、プラットフォームのレンディングプールから資金を流出させることに成功しました。.

攻撃の初期段階では、犯人はVoltage FinanceのWETH-WBTCペアから515 Wrapped Ether（WETH）のフラッシュローンを使用して エクスプロイトを開始しました。 

Voltage Financeは、Fuseネットワーク上で自動トークン取引を可能にする分散型プロトコルとして運営されています。攻撃者は、ラップトークンとフラッシュローンを用いてプラットフォームのスマートtracを操作することで、このインフラストラクチャを悪用しました。. 

VoltageをサポートするマルチプロトコルネットワークであるOla Financeは、今回のインシデント発生から2日後に事後分析を発表し、 脆弱 のdent 性は同社のFuse展開に特有のものであることを明らかにした。開発者らは、同様の攻撃がOlaのエコシステムに属する他の融資ネットワークに影響を与えることはないだろうと述べている。 

合計で、攻撃者は 216,964.18 USDC、507,216.68 BUSD、200,000 fUSD、550.45 Wrapped Ether (wETH)、26.25 Wrapped Bitcoin (wBTC)、および 1,240,000 FUSE トークンを盗み出しました。. 

「その後の取引では、攻撃者は既に盗み出した資金を利用することで、緊急融資を回避した」とOlaは報告書で述べている。

2025年3月に新たな脆弱性が発生

Voltage Financeは今年3月18日、Simple Stakingプールを巻き込んだ別の攻撃で再び攻撃を受けました。今回は不正な引き出しにより、USDCEで17万1,027.20ドル、wETHで15万1,085.87ドルが盗まれました。同プラットフォームは資金流出を阻止するためプールでの活動を一時停止し、「ハッカーのdentに緊急に取り組んでいる」と述べました。

3月20日にMediumで 報じたレポート 、攻撃は「攻撃者2」と呼ばれる正体不明の人物が暗号資産取引所HTXからETHを引き出したことから始まった。攻撃者2は盗んだ資産を攻撃者1に送金し、攻撃者1はその資金を使ってChangeNow経由でFUSEトークンを購入し、LayerZero経由でネットワークに接続した。

そこから、盗まれた資産は Ethereum にブリッジされ、いくつかのウォレットとトランザクションを通じて移動されました。その後、資金は攻撃者 1 から攻撃者 3 に渡され、攻撃者 3 は SimpleSwap 経由で追加の資金を受け取りました。. 

攻撃者3はトークンの一部をKuCoin取引所に預け入れましたが、残りのトークンを最初のハッカーに交換して引き出し、ロンダリングループを完了しました。.

「あなたの取引がKuCoinを経由していたため、私たちはdentました。私たちはこの状況を平和的に解決することを望んでいます。すべての資金が返還された場合、5万ドルの報奨金を提供します」と、Voltage FinanceはXの投稿でハッカーに伝えました 。

ブロックチェーンセキュリティ企業Immunefiの最新レポートによると、暗号資産関連のハッキングやエクスプロイトによる損失は今年これまでに17億4000万ドルに達し、2024年全体で記録された合計14億9000万ドルをすでに上回っている。2025年累計額は、 報告された 。