TrustedVolumesの脆弱性を確認：RFQスワップで670万ドルの窃盗、協議を模索

TrustedVolumesは、TrustedVolumesのエクスプロイトが同社が管理するカスタムRFQ（request-for-quote）スワッププロキシを悪用したものであり、Ethereum上で約670万ドルの損失が出たことを確認しました。ブロックチェーン企業Blockaidは以前、ほぼ600万ドルがTrustedVolumesのEthereumリゾルバコントラクトに流れたことを追跡しており、インシデント報告は攻撃者を2025年3月の1inch Fusion v1インシデントの背後にいたのと同じオペレーターに結びつけていますが、脆弱性はTrustedVolumesが管理するインフラにあります。 技術的には、TrustedVolumesのエクスプロイトは特権付与されたRFQプロキシ設計を狙いました。TrustedVolumesによれば、盗まれた資産は3つのウォレットアドレスが保有しており（約300万ドル、300万ドル、70万ドル）、同社は「建設的な対話に前向き」で、バウンティ風の相互に受け入れ可能な解決策を提案しています。セキュリティ責任者Hakan Unal（Cyvers）は、根本原因をパーミッションレスなサイナー登録、破損したリプレイ保護、検証されていない転送元フィールドと特定しており、承認済みアカウントから繰り返し資金が流出し得た懸念を示しています。 1inchは直接的な関与を否定し、コアのアグリゲーターコントラクトとユーザー資金には「影響なし」と述べつつ、TrustedVolumesを多数あるリゾルバの一つとして利用していることは認めています。引用された主なフローは、約1,291.16 WETH、206,282 USDT、16.939 WBTC、1,268,771 USDCがEthereumリゾルバからルーティングされたことです。 トレーダーにとって短期的な主懸念は、1inch関連の流動性およびRFQインフラに対するカウンターパーティの信頼です。もし攻撃者の資金が返還されればセンチメントは安定する可能性がありますが、そうでなければ影響を受けたDeFi流動性の場に対するリスクプレミアムが上昇する可能性があります。