- Спящий хакер, связанный с эксплойтом Voltage Finance 2022 года, перевел $182 тыс. в ETH через Tornado Cash после 166 дней бездействия.
- В марте 2025 года Voltage Finance подверглась второму взлому: более $320 тыс. были выведены из пулов стейкинга через скомпрометированный прокси-контракт.
- Крипто-взломы в 2025 году уже обошлись в $1,74 млрд, побив прошлогодний рекорд; среди крупных инцидентов — UPCX, KiloEx и другие.
Хакер, связанный с эксплуатацией 2022 года Voltage Finance, децентрализованного кредитного протокола, построенного на сети Fuse, перевел значительную часть украденных средств после месяцев бездействия. Компания по безопасности блокчейна CertiK раскрыла 6 мая, что хакер перевел 100 Ether, оцененных примерно в 182 783 доллара, через сервис смешивания криптовалют Tornado Cash.
Согласно расследованию CertiK, адрес кошелька, использованный в транзакции, был неактивен в течение 166 дней, без движения с ноября. Адрес связан с первоначальной эксплуатацией и может быть прослежен до более ранней активности, связанной с хакером.
Наша система оповещения обнаружила @TornadoCash
депозиты 100 ETH от 0xCF4823dA7271fdedBe103500d8E197Bdca224B6d.Средства восходят к ~$4M Voltage Finance
эксплуатации на Fuse еще в марте 2022.Будьте начеку! pic.twitter.com/eyqH1HbN3F
— CertiK Alert (@CertiKAlert) мая 6, 2025
Компания по безопасности блокчейна также объяснила, что хакер использовал Tornado Cash, который был санкционирован Министерством финансов США в 2022 году за содействие отмыванию денег, чтобы скрыть транзакции блокчейна и предотвратить расследователям возможность отслеживания движения средств.
Оригинальная 2022 эксплуатация Voltage Finance
Voltage была взломана 31 марта 2022 года, и хакер унес с собой около 4,67 миллиона долларов в цифровых токенах. Сообщается, что они воспользовались уязвимостью в стандарте токенов ERC677 через встроенную функцию обратного вызова. Эта функция позволила им выполнить атаку повторного входа (reentrancy attack), чтобы успешно опустошить кредитный пул платформы.
На начальном этапе атаки злоумышленник использовал флеш-кредит в размере 515 Wrapped Ether (WETH) из пула WETH-WBTC на Voltage Finance для запуска эксплойта.
Voltage Finance работает как децентрализованный протокол, обеспечивающий автоматизированную торговлю токенами в сети Fuse. Атакующий использовал эту инфраструктуру, манипулируя смарт-контрактами платформы с помощью обернутых токенов и флеш-кредитов.
Ola Finance, многопротокольная сеть, поддерживающая Voltage, выпустила пост-мортеме через два дня после инцидента, в котором указывалось, что эксплойт был специфичен для ее развертывания в Fuse. Разработчики заявили, что аналогичные атаки не затронут другие кредитные сети в экосистеме Ola.
В общей сложности атакующий вывел 216 964,18 USDC, 507 216,68 BUSD, 200 000 fUSD, 550,45 Wrapped Ether (wETH), 26,25 Wrapped Bitcoin (wBTC) и 1 240 000 токенов FUSE.
“В более поздних транзакциях атакующий избежал использования флеш-кредита, используя средства, которые уже были украдены, — заявила Ola в своем отчете.
Еще один эксплойт произошел в марте 2025
Voltage Finance снова пострадала от отдельного инцидента 18 марта этого года, связанного с пулами Simple Staking. На этот раз несанкционированное снятие средств привело к краже $171 027,20 в USDC и $151 085,87 в wETH. Платформа приостановила деятельность в пуле, чтобы остановить отток средств, и заявила, что «работает в срочном порядке, чтобы выявить хакера».
Согласно статье от 20 в Medium отчете от Voltage Finance, атака началась, когда вторая неизвестная сторона, названная Атакующим 2, вывела ETH с криптобиржи HTX. Атакующий 2 перевел украденные активы Атакующему 1, который использовал эти средства для покупки токенов FUSE через ChangeNow и переместил их в сеть через LayerZero.
Оттуда украденные активы были перемещены обратно в Ethereum и прошли через несколько кошельков и транзакций. Затем средства были переданы от Атакующего 1 Атакующему 3, который получил дополнительные средства через SimpleSwap.
Атакующий 3 внес часть токенов на биржу KuCoin, но обменял и вывел другие обратно первому хакеру, чтобы завершить цикл отмывания.
“Поскольку ваши транзакции прошли через KuCoin, мы инициировали сотрудничество для вашей идентификации. Мы предпочитаем решать эту ситуацию мирным путем. Мы предлагаем вознаграждение в размере $50 000 при возврате всех средств,, — сказала Voltage Finance хакеру в своем X посте.
Согласно недавнему отчету компании по безопасности блокчейна Immunefi, убытки от криптографических взломов и эксплойтов достигли $1,74 млрд с начала этого года, уже превысив общую сумму в $1,49 млрд, зафиксированную за весь 2024 год. Итог за 2025 год с начала года почти в четыре раза превышает показатель в $420 млн сообщал за тот же период в 2024.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
