TrustedVolumes-Exploit bestätigt: $6,7 Mio. RFQ-Swap-Diebstahl, Gespräche gesucht

TrustedVolumes bestätigte, dass der TrustedVolumes-Exploit einen von ihnen kontrollierten, angepassten RFQ (request-for-quote) Swap-Proxy nutzte, mit Verlusten von etwa 6,7 Mio. USD auf Ethereum. Die Blockchain-Firma Blockaid hatte zuvor fast 6 Mio. USD zum Ethereum-Resolver-Contract von TrustedVolumes zurückverfolgt, und Vorfallberichte verbinden den Exploiter mit demselben Betreiber hinter dem 1inch Fusion v1-Vorfall im März 2025, obwohl die Schwachstelle in der von TrustedVolumes kontrollierten Infrastruktur liegt. Technisch zielte der TrustedVolumes-Exploit auf das privilegierte RFQ-Proxy-Design. TrustedVolumes sagt, drei Wallet-Adressen hielten die gestohlenen Vermögenswerte (etwa 3 Mio., 3 Mio. und 700 Tsd. USD). Das Unternehmen ist "offen für konstruktive Kommunikation" und schlägt eine bounty-ähnliche, gegenseitig akzeptable Lösung vor. Sicherheitsleiter Hakan Unal (Cyvers) führte die Root-Cause auf permissionless Signer-Registration, gebrochenen Replay-Schutz und ein nicht validiertes Transfer-Source-Feld zurück — was Bedenken weckt, dass ein Abfluss von genehmigten Konten wiederholt hätte stattfinden können. 1inch wies eine direkte Beteiligung zurück und erklärte, seine Core-Aggregation-Contracts und Nutzerfonds seien "nicht betroffen", während man zugibt, TrustedVolumes als einen von vielen Resolvern zu nutzen. Wichtige zitierte Flows umfassen etwa 1.291,16 WETH, 206.282 USDT, 16,939 WBTC und 1.268.771 USDC, die vom Ethereum-Resolver weitergeleitet wurden. Für Trader ist die kurzfristig wichtigste Sorge das Gegenparteivertrauen in 1inch-nahe Liquidität und RFQ-Infrastruktur. Werden die vom Exploiter entwendeten TrustedVolumes-Mittel zurückgegeben, könnte sich die Stimmung stabilisieren; andernfalls könnten die Risikoprämien für betroffene DeFi-Liquiditätsplätze, die an Resolver/RFQ-Flows gebunden sind, steigen.