Exploit TrustedVolumes confirmat: furt de 6,7 milioane $ în swap RFQ, căutați discuții
TrustedVolumes a confirmat că exploit-ul TrustedVolumes a implicat un proxy de swap RFQ (request-for-quote) personalizat aflat sub controlul său, cu pierderi totale de aproximativ 6,7 milioane USD pe Ethereum. Firma blockchain Blockaid a urmărit anterior aproape 6 milioane USD către contractul resolver al TrustedVolumes pe Ethereum, iar rapoartele incidentului leagă exploatatorul de același operator din spatele incidentului 1inch Fusion v1 din martie 2025, deși vulnerabilitatea se află în infrastructura controlată de TrustedVolumes.
Din punct de vedere tehnic, exploit-ul a vizat designul privilegiat al proxy-ului RFQ. TrustedVolumes spune că 3 adrese de portofel dețin activele furate (aproximativ 3M$, 3M$ și 700K$). Firma este „deschisă către comunicare constructivă” și propune o soluție de tip bounty acceptabilă reciproc. Șeful de securitate Hakan Unal (Cyvers) a atribuit cauza rădăcină înregistrării semnatarilor fără permisiuni, protecției anti-replay defecte și unui câmp sursă de transfer nevalidat — ridicând îngrijorări că retragerea ar fi putut fi repetată de pe conturi aprobate.
1inch a respins orice implicare directă, afirmând că contractele sale principale de agregare și fondurile utilizatorilor nu au avut „impact”, recunoscând totuși că folosește TrustedVolumes ca unul dintre mulți resolvers. Fluxurile cheie citate includ aproximativ 1.291,16 WETH, 206.282 USDT, 16,939 WBTC și 1.268.771 USDC rutate din resolverul Ethereum.
Pentru traderi, principala preocupare pe termen scurt este încrederea contrapartidelor în lichiditatea adiacentă 1inch și infrastructura RFQ. Dacă fondurile exploatatorului TrustedVolumes vor fi returnate, sentimentul s-ar putea stabiliza; dacă nu, primele de risc pot crește pentru venue-urile de lichiditate DeFi afectate legate de fluxurile resolver/RFQ.
Bearish
Aceasta este o exploatare confirmată pe partea Ethereum care implică infrastructura resolver/RFQ a TrustedVolumes, care poate crește temporar riscul perceput al contractelor inteligente și al contrapărților în rutarea lichidității pe Ethereum. Deși 1inch afirmă că contractele sale de bază și fondurile utilizatorilor nu au fost afectate, episodul scoate în evidență eșecuri concrete (protecție la replay, înregistrarea semnatarilor, validarea transferurilor) și mișcări publice de fonduri legate de fluxurile WETH/USDT/WBTC/USDC. Pe termen scurt, aceasta poate pune presiune pe sentiment și lărgi primele de risc pentru rutele DeFi legate de ETH care se bazează pe sisteme resolver/RFQ similare. Comunicarea de tip bounty „constructivă” poate reduce panica în cel mai rău caz dacă fondurile sunt returnate, dar până când rezultatul nu este clar, impactul pe termen scurt asupra condițiilor de tranzacționare legate de Ethereum este mai probabil negativ decât neutru.