Exploit di TrustedVolumes confermato: furto di $6,7M in swap RFQ, richieste trattative
TrustedVolumes ha confermato che lo sfruttamento di TrustedVolumes ha coinvolto un proxy di swap RFQ (request-for-quote) personalizzato sotto il suo controllo, con perdite complessive di circa 6,7 milioni di dollari su Ethereum. La società blockchain Blockaid aveva precedentemente tracciato quasi 6 milioni al contratto resolver di TrustedVolumes su Ethereum, e i report sull’incidente collegano lo sfruttatore allo stesso operatore dietro l’incidente 1inch Fusion v1 del marzo 2025, sebbene la vulnerabilità risieda nell’infrastruttura controllata da TrustedVolumes.
Tecnicamente, lo sfruttamento ha preso di mira il design privilegiato del proxy RFQ. TrustedVolumes afferma che 3 indirizzi di wallet detengono gli asset rubati (circa 3 M$, 3 M$ e 700 K$). La società è “aperta a una comunicazione costruttiva” e propone una soluzione in stile bounty accettabile da entrambe le parti. Il responsabile della sicurezza Hakan Unal (Cyvers) ha attribuito la causa principale alla registrazione di firmatari senza permessi, alla protezione anti-replay difettosa e a un campo sorgente di trasferimento non validato, sollevando preoccupazioni che lo svuotamento avrebbe potuto essere ripetuto da account approvati.
1inch ha respinto qualsiasi coinvolgimento diretto, affermando che i suoi contratti core di aggregazione e i fondi degli utenti non hanno subito “alcun impatto”, pur riconoscendo di utilizzare TrustedVolumes come uno dei molti resolver. Tra i flussi citati figurano circa 1.291,16 WETH, 206.282 USDT, 16,939 WBTC e 1.268.771 USDC instradati dal resolver di Ethereum.
Per i trader, la preoccupazione a breve termine principale è la fiducia nelle controparti riguardo alla liquidità collegata a 1inch e all’infrastruttura RFQ. Se i fondi dello sfruttamento TrustedVolumes verranno restituiti, il sentiment potrebbe stabilizzarsi; in caso contrario, i premi per il rischio potrebbero aumentare per i mercati di liquidità DeFi interessati legati ai flussi resolver/RFQ.
Bearish
Si tratta di un exploit confermato lato Ethereum che coinvolge l'infrastruttura del resolver/RFQ di TrustedVolumes, che può aumentare temporaneamente il rischio percepito di smart contract e controparti nel routing della liquidità su Ethereum. Sebbene 1inch affermi che i suoi contratti principali e i fondi degli utenti non siano stati interessati, l'episodio mette in luce fallimenti concreti (protezione dai replay, registrazione dei firmatari, convalida dei trasferimenti) e movimenti pubblici di fondi legati ai flussi WETH/USDT/WBTC/USDC. Nel breve periodo ciò può mettere pressione sul sentiment e allargare i premi di rischio per le rotte DeFi legate a ETH che fanno affidamento su sistemi di resolver/RFQ simili. La comunicazione in stile bounty «costruttiva» può ridurre il panico nel peggiore dei casi se i fondi vengono restituiti, ma fino a quando tale esito non sarà chiaro, l'impatto a breve termine sulle condizioni di trading legate a Ethereum è più probabilmente negativo che neutro.