Voltage Finance 해킹으로 18만 2천 달러 상당의 ETH가 Tornado Cash 로 이체되었습니다

2022년 퓨즈 네트워크 기반 탈중앙화 대출 프로토콜인 볼티지 파이낸스(Voltage Finance) 해킹 사건과 관련된 해커가 수개월간 활동이 없다가 훔친 자금의 상당 부분을 이동시킨 것으로 드러났습니다. 블록체인 보안 회사인 서틱(CertiK)은 5월 6일, 해당 해커가 암호화폐 믹싱 서비스인 토네이도 캐시(Tornado Cash를 통해 약 182,783달러 상당의 이더리움 100개를 이체했다고 밝혔습니다.

CertiK의 조사에 따르면, 해당 거래에 사용된 지갑 주소는 166일 동안 비활성 상태였으며, 11월 이후로는 아무런 움직임이 없었습니다. 이 주소는 최초 공격과 연관되어 있으며, 해커의 이전 활동과도 trac됩니다. 

#CertiKinsight 🚨

감지했습니다 @TornadoCash
로 100 ETH가 입금된 것을

해당 펀드는 tracVoltage Finance가
Fuse에 대해 약 4백만 달러 규모의 익스플로잇을 감행한

경계를 늦추지 마세요! pic.twitter.com/eyqH1HbN3F

— CertiK Alert (@CertiKAlert) 2025년 5월 6일

블록체인 보안 업체는 또한 해커가 자금 세탁을 용이하게 한다는 이유로 2022년 미국 재무부의 제재를 받은 토네이도 캐시(Tornado Cash사용하여 블록체인 거래를 은폐하고 수사관들이 자금 흐름을 trac하지 못하도록 했다고 설명했습니다.

Voltage Finance의 2022년 오리지널 익스플로잇

Voltage는 2022년 3월 31일 해킹 공격을 받아 약 467만 달러 상당의 디지털 토큰을 탈취당했습니다. 해커들은 ERC677 토큰 표준의 내장 콜백 함수에 있는 취약점을 악용한 것으로 알려졌습니다. 이 함수를 이용해 재진입 공격을 실행하여 플랫폼의 대출 풀에서 자금을 빼돌리는 데 성공했습니다.

공격 초기 단계에서 범인은 Voltage Finance의 WETH-WBTC 거래쌍에서 515개의 래핑된 이더리움(WETH)을 플래시론으로 빌려 공격을 시작했습니다. 

Voltage Finance는 Fuse 네트워크에서 자동 토큰 거래를 가능하게 하는 탈중앙화 프로토콜로 운영됩니다. 공격자는 래핑 토큰과 플래시론을 이용해 플랫폼의 스마트trac을 조작함으로써 이 인프라를 악용했습니다. 

Voltage를 지원하는 멀티 프로토콜 네트워크인 Ola Finance는 사후 분석 사건 발생 이틀 후dent 해당 취약점이 Fuse 배포에만 국한된 것임을 밝혔습니다. 개발자들은 유사한 공격이 Ola 생태계 내 다른 대출 네트워크에는 영향을 미치지 않을 것이라고 덧붙였습니다. 

공격자는 총 216,964.18 USDC, 507,216.68 BUSD, 200,000 fUSD, 550.45 Wrapped Ether(wETH), 26.25 Wrapped Bitcoin (wBTC) 및 1,240,000 FUSE 토큰을 빼돌렸습니다. 

"이후 거래에서 공격자는 이미 훔친 자금을 이용해 급전 대출을 피했다올라(Ola)는 보고서에서

또 다른 취약점이 2025년 3월에 발생합니다

Voltage Finance는 올해 3월 18일, Simple Staking 풀과 관련된 또 다른 해킹 공격을 받았습니다. 이번 공격으로 인해 무단 인출로 171,027.20달러 상당의 USDCE와 151,085.87달러 상당의 wETH가 도난당했습니다. 플랫폼 측은 자금 유출을 막기 위해 해당 풀의 운영을 일시 중단했으며, "해커를 긴급히dent위해 노력하고 있다"고 밝혔습니다

에 따르면 보고서 , 이번 공격은 '공격자 2'로 알려진 또 다른 신원 미상의 공격자가 암호화폐 거래소 HTX에서 이더리움(ETH)을 인출하면서 시작되었습니다. 공격자 2는 훔친 자산을 공격자 1에게 전달했고, 공격자 1은 이 자금을 이용해 LayerZero를 통해 네트워크에 연결된 ChangeNow에서 FUSE 토큰을 구매했습니다.

그 후, 도난당한 자산은 Ethereum 으로 다시 연결되어 여러 지갑과 거래를 거쳐 이동했습니다. 그런 다음 자금은 공격자 1에서 공격자 3에게 전달되었고, 공격자 3은 SimpleSwap을 통해 추가 자금을 받았습니다. 

공격자 3은 일부 토큰을 쿠코인 거래소에 입금했지만, 나머지 토큰은 교환하여 첫 번째 해커에게 다시 인출함으로써 자금 세탁 과정을 완료했습니다.

"하기 위해 협조를 시작했습니다dent. 저희는 이 상황을 평화적으로 해결하기를 원합니다. 모든 자금을 반환해 주시면 5만 달러의 현상금을 드리겠습니다."라고 볼티지 파이낸스는 X 포스트를 통해 해커에게 전했습니다 .

블록체인 보안 기업 이뮤니피(Immunefi)의 최근 보고서에 따르면, 암호화폐 관련 해킹 및 악용으로 인한 손실액이 올해 들어 현재까지 17억 4천만 달러에 달해 2024년 한 해 동안 기록된 총액인 14억 9천만 달러를 이미 넘어섰습니다. 2025년 상반기 손실액은 보고된 2024년 같은 기간에