TrustedVolumes-exploit bevestigd: $6,7M RFQ-swapdiefstal, gesprekken gezocht

TrustedVolumes bevestigde dat de TrustedVolumes-exploit een aangepaste RFQ (request-for-quote) swap-proxy betrof die onder haar controle stond, met totale verliezen van ongeveer $6,7M op Ethereum. Blockchainbedrijf Blockaid had eerder bijna $6M getraceerd naar het TrustedVolumes Ethereum-resolvercontract, en incidentrapporten koppelen de exploiteerder aan dezelfde operator achter het 1inch Fusion v1-incident van maart 2025, hoewel de fout in door TrustedVolumes beheerde infrastructuur zit. Technisch richtte de exploit zich op het bevoorrechte RFQ-proxyontwerp. TrustedVolumes zegt dat 3 walletadressen de gestolen activa houden (ongeveer $3M, $3M en $700K). Het bedrijf staat “open voor constructieve communicatie” en stelt een bounty-achtige, wederzijds aanvaardbare oplossing voor. Security lead Hakan Unal (Cyvers) wees de grondoorzaak toe aan permissieloos signer-registratie, gebroken replay-bescherming en een niet-gevalideerd transfer-bronveld — wat zorgen oproept dat het leegtrekken herhaald had kunnen worden vanaf goedgekeurde accounts. 1inch wees directe betrokkenheid van de hand en verklaarde dat haar core aggregatiecontracten en gebruikersfondsen "geen impact" hadden, terwijl het erkent TrustedVolumes te gebruiken als een van de vele resolvers. Belangrijke geciteerde stromen omvatten ongeveer 1.291,16 WETH, 206.282 USDT, 16,939 WBTC en 1.268.771 USDC die vanuit de Ethereum-resolver zijn gerouteerd. Voor traders is de belangrijkste kortetermijnzorg het tegenpartijvertrouwen rondom 1inch-gerelateerde liquiditeit en RFQ-infrastructuur. Als de gelden van de TrustedVolumes-exploit worden teruggegeven, kan het sentiment stabiliseren; zo niet, dan kunnen risicopremies stijgen voor getroffen DeFi-liquiditeitslocaties die aan resolver/RFQ-stromen zijn gekoppeld.