Voltage Finance 黑客将 182K 枚 ETH 转入 Tornado Cash

一名与2022年电压金融（Voltage Finance）漏洞事件相关的黑客，在数月沉寂后转移了被盗资金的大部分。区块链安全公司 CertiK 于5月6日披露，该黑客通过加密混币服务 Tornado Cash 转移了100枚以太币，价值约182,783美元。

根据 CertiK 的调查，交易使用的钱包地址已沉寂166天，自11月以来无任何活动。该地址与原始漏洞有关，并可追溯到黑客的早期活动。 

#CertiKInsight 🚨

我们的警报系统检测到 @TornadoCash
从 0xCF4823dA7271fdedBe103500d8E197Bdca224B6d 存入的100枚 ETH。

资金可追溯至约 4M 的 Voltage Finance
3月 2022 在 Fuse 网络上的漏洞事件。

保持警惕！ pic.twitter.com/eyqH1HbN3F

— CertiK Alert (@CertiKAlert) 5月 6日, 2025

该区块链安全公司还解释说，黑客使用了 Tornado Cash，该服务因协助洗钱于2022年被美国财政部制裁，以掩盖区块链交易并防止调查人员追踪资金流向。

Voltage 原始 2022 漏洞

Voltage 于2022年3月31日遭到黑客攻击，黑客窃取了价值约467万美元的数字代币。据报道，他们利用了一种代币标准 ERC677 中的漏洞，通过内置回调函数执行了重入攻击，成功从平台的借贷池中抽干资金。

在攻击的初始阶段，肇事者使用来自 Voltage Finance 上 WETH-WBTC 对的515枚封装以太币（WETH）闪电贷发起 漏洞利用。 

Voltage Finance 是一个去中心化协议，旨在启用 Fuse 网络上的自动化代币交易。攻击者通过操纵平台的智能合约，利用封装代币和闪电贷利用了这一基础设施。 

支持 Voltage 的多协议网络 Ola Finance 在事件发生后两天发布了一份 事后报告中 声明，显示该漏洞利用仅限于其 Fuse 部署。开发人员表示，类似的攻击不会影响 Ola 生态系统下的其他借贷网络。 

总计，攻击者抽走了216,964.18枚 USDC、507,216.68枚 BUSD、200,000枚 fUSD、550.45枚封装以太币（wETH）、26.25枚封装比特币（wBTC）和1,240,000枚 FUSE 代币。 

“在随后的交易中，攻击者通过使用已被盗的资金，” Ola 在其报告中指出。

另一起漏洞利用事件发生在3月 2025

Voltage Finance 今年3月18日再次遭到单独漏洞利用事件的攻击，涉及其简单质押池。这次，未经授权的提款导致171,027.20美元 USDC 和151,085.87美元 wETH 被盗。该平台暂停了池中的活动以阻止资金流失，并表示正在“紧急努力识别黑客”。

根据3月 20 来自 Voltage Finance 的 Medium 报告 文章，攻击始于第二名未知方（称为攻击者2）从加密交易所 HTX 提取 ETH。攻击者2将被盗资产转移给攻击者1，攻击者1通过 ChangeNow 购买 FUSE 代币，并通过 LayerZero 桥接至网络。

随后，被盗资产被桥接回以太坊，并经过多个钱包和交易。资金随后从攻击者1转移给攻击者3，攻击者3通过 SimpleSwap 接收了额外资金。 

攻击者3将部分代币存入 KuCoin 交易所，但将其他代币兑换并提款回第一名黑客，以完成洗钱循环。

“由于您的交易经过了 KuCoin，我们已启动合作以识别您。我们倾向于和平解决这一情况。我们提供5万美元的赏金，前提是归还所有资金，” Voltage Finance 在其 X 帖子中对黑客说道。

根据区块链安全公司 Immunefi 的一份最新报告，今年迄今为止，与加密相关的黑客攻击和漏洞利用造成的损失已达到17.4亿美元，已经超过了2024年全年记录的14.9亿美元总额。2025年至今的总额是 ⟦N1⟧ 同期4.2亿美元 在 6 月报道 在2024的同一时期。