Exploit de TrustedVolumes confirmado: robo de $6,7M en swap RFQ, se buscan conversaciones
TrustedVolumes confirmó que el exploit de TrustedVolumes implicó un proxy de intercambio RFQ (request-for-quote) personalizado bajo su control, con pérdidas totales de aproximadamente 6,7 millones de dólares en Ethereum. La firma blockchain Blockaid rastreó previamente casi 6 millones a un contrato resolutor de TrustedVolumes en Ethereum, y los informes del incidente conectan al explotador con el mismo operador detrás del incidente de 1inch Fusion v1 de marzo de 2025, aunque la vulnerabilidad está en la infraestructura controlada por TrustedVolumes.
Técnicamente, el exploit de TrustedVolumes atacó el diseño privilegiado del proxy RFQ. TrustedVolumes dice que 3 direcciones de cartera poseen los activos robados (aproximadamente 3 M$, 3 M$ y 700 K$). La firma está “abierta a una comunicación constructiva” y propone una solución de estilo recompensa mutuamente aceptable. El responsable de seguridad Hakan Unal (Cyvers) atribuyó la causa raíz al registro de firmantes sin permisos, a la protección contra repetición rota y a un campo de origen de transferencia no validado, lo que plantea preocupaciones de que el vaciado podría haberse repetido desde cuentas aprobadas.
1inch rechazó cualquier implicación directa, declarando que sus contratos centrales de agregación y los fondos de los usuarios no tuvieron “impacto”, aunque reconoció que utiliza TrustedVolumes como uno de los muchos resolutores. Flujos clave citados incluyen aproximadamente 1.291,16 WETH, 206.282 USDT, 16,939 WBTC y 1.268.771 USDC enrutados desde el resolutor de Ethereum.
Para los traders, la principal preocupación a corto plazo es la confianza en las contrapartes en torno a la liquidez vinculada a 1inch y la infraestructura RFQ. Si los fondos del exploit de TrustedVolumes se devuelven, el sentimiento podría estabilizarse; si no, las primas de riesgo podrían aumentar para los lugares de liquidez DeFi afectados vinculados a flujos de resolutor/RFQ.
Bearish
Se trata de una explotación confirmada en el lado de Ethereum que afecta a la infraestructura del resolvedor/RFQ de TrustedVolumes, que puede aumentar temporalmente el riesgo percibido de contratos inteligentes y contrapartes en el enrutamiento de liquidez de Ethereum. Aunque 1inch afirma que sus contratos principales y los fondos de los usuarios no se vieron afectados, el episodio pone de manifiesto fallos concretos (protección contra reproducciones, registro de firmantes, validación de transferencias) y movimientos públicos de fondos vinculados a flujos de WETH/USDT/WBTC/USDC. A corto plazo, eso puede presionar el sentimiento y ensanchar las primas de riesgo para las rutas DeFi relacionadas con ETH que dependen de sistemas de resolvedor/RFQ similares. El estilo de comunicación tipo «bounty» (constructivo) puede reducir el pánico en el peor de los casos si se devuelven los fondos, pero hasta que ese resultado sea claro, el impacto a corto plazo en las condiciones de negociación vinculadas a Ethereum es más probable que sea negativo que neutro.