Exploit do TrustedVolumes confirmado: roubo de $6,7M em swap RFQ, buscas por negociações

A TrustedVolumes confirmou que o exploit do TrustedVolumes envolveu um proxy de swap RFQ (request-for-quote) personalizado sob seu controle, com perdas totais de cerca de US$ 6,7 milhões na Ethereum. A empresa blockchain Blockaid havia rastreado anteriormente quase US$ 6 milhões até o contrato resolver da TrustedVolumes na Ethereum, e relatórios do incidente conectam o explorador ao mesmo operador por trás do incidente 1inch Fusion v1 de março de 2025, embora a falha esteja na infraestrutura controlada pela TrustedVolumes. Tecnicamente, o exploit do TrustedVolumes teve como alvo o design privilegiado do proxy RFQ. A TrustedVolumes diz que 3 endereços de carteira detêm os ativos roubados (aproximadamente US$ 3M, US$ 3M e US$ 700K). A empresa está “aberta a comunicação construtiva” e propõe uma solução no estilo bounty mutuamente aceitável. O líder de segurança Hakan Unal (Cyvers) atribuiu a causa raiz ao registro de signatários sem permissão, proteção contra replay quebrada e um campo de origem de transferência não validado — levantando preocupações de que o esvaziamento poderia ter sido repetido a partir de contas aprovadas. A 1inch rejeitou qualquer envolvimento direto, afirmando que seus contratos core de agregação e os fundos dos usuários não sofreram “impacto”, embora reconheça que usa a TrustedVolumes como um dos muitos resolvers. Fluxos citados incluem aproximadamente 1.291,16 WETH, 206.282 USDT, 16,939 WBTC e 1.268.771 USDC roteados a partir do resolver na Ethereum. Para os traders, a principal preocupação de curto prazo é a confiança nas contrapartes em torno da liquidez adjacente à 1inch e à infraestrutura RFQ. Se os fundos do exploit do TrustedVolumes forem devolvidos, o sentimento pode se estabilizar; se não, os prêmios de risco podem aumentar para os venues de liquidez DeFi afetados vinculados a fluxos de resolver/RFQ.