Exploit TrustedVolumes confirmé : vol de 6,7 M$ lors d'un swap RFQ, recherche de discussions

TrustedVolumes a confirmé que l'exploitation de TrustedVolumes impliquait un proxy d'échange RFQ (request-for-quote) personnalisé sous son contrôle, avec des pertes totalisant environ 6,7 M$ sur Ethereum. La société blockchain Blockaid avait précédemment tracé près de 6 M$ vers le contrat resolver Ethereum de TrustedVolumes, et les rapports d'incident relient l'exploitant au même opérateur derrière l'incident 1inch Fusion v1 de mars 2025, bien que la faille se situe dans l'infrastructure contrôlée par TrustedVolumes. Techniquement, l'exploitation visait le design privilégié du proxy RFQ. TrustedVolumes indique que 3 adresses de portefeuille détiennent les actifs volés (environ 3 M$, 3 M$ et 700 K$). La société est « ouverte à une communication constructive » et propose une solution de type bounty, mutuellement acceptable. Le responsable sécurité Hakan Unal (Cyvers) attribue la cause première à l'enregistrement de signataires sans permission, à une protection contre les rejouements défaillante, et à un champ source de transfert non validé — ce qui laisse craindre que des drains aient pu être répétés depuis des comptes approuvés. 1inch a rejeté toute implication directe, affirmant que ses contrats d'agrégation principaux et les fonds des utilisateurs n'avaient « aucun impact », tout en reconnaissant qu'il utilise TrustedVolumes comme l'un de ses nombreux resolvers. Les flux cités comprennent environ 1 291,16 WETH, 206 282 USDT, 16,939 WBTC et 1 268 771 USDC routés depuis le resolver Ethereum. Pour les traders, la principale préoccupation à court terme est la confiance des contreparties à l'égard de la liquidité liée à 1inch et de l'infrastructure RFQ. Si les fonds de l'exploitant TrustedVolumes sont restitués, le sentiment pourrait se stabiliser ; sinon, les primes de risque pourraient augmenter pour les venues de liquidité DeFi affectées liées aux flux resolver/RFQ.