Эксплойт TrustedVolumes подтверждён: кража $6,7M в RFQ-свопе, ищут переговоры

| crypto.news
TrustedVolumes подтвердила, что эксплойт TrustedVolumes включал пользовательский RFQ (request-for-quote) swap-прокси, находившийся под её контролем, с общими потерями около 6,7 млн долларов на Ethereum. Блокчейн-компания Blockaid ранее проследила почти 6 млн до resolver-контракта TrustedVolumes в Ethereum, а отчёты по инциденту связывают эксплойтера с тем же оператором, что и инцидент 1inch Fusion v1 в марте 2025 года, хотя уязвимость находится в инфраструктуре, контролируемой TrustedVolumes. Технически эксплойт нацелился на привилегированную конструкцию RFQ-прокси. TrustedVolumes сообщает, что 3 адреса кошельков содержат украденные активы (примерно 3 млн $, 3 млн $ и 700 тыс $). Компания «открыта для конструктивного общения» и предлагает взаимоприемлемое решение в стиле баунти. Руководитель безопасности Хакан Унал (Cyvers) отнёс коренную причину к разрешённой регистрации подписантов без проверок, сломанной защите от повторных транзакций и невалидному полю источника перевода — что вызывает опасения, что слив мог быть повторён с одобренных аккаунтов. 1inch отвергла какое-либо прямое участие, заявив, что её основные агрегирующие контракты и средства пользователей «не пострадали», при этом признав, что использует TrustedVolumes как одного из многих resolver-ов. В числе ключевых потоков указаны примерно 1 291,16 WETH, 206 282 USDT, 16,939 WBTC и 1 268 771 USDC, направленные с Ethereum-resolver. Для трейдеров основная краткосрочная обеспокоенность — доверие контрагентов к ликвидности, связанной с 1inch, и инфраструктуре RFQ. Если средства эксплойтера TrustedVolumes будут возвращены, настроения могут стабилизироваться; в противном случае премии за риск могут вырасти для затронутых DeFi-площадок ликвидности, связанных с потоками resolver/RFQ.
Bearish
Это подтвержденная эксплуатация на стороне Ethereum, затрагивающая инфраструктуру резолвера/RFQ TrustedVolumes, которая может временно повысить воспринимаемый риск смарт-контрактов и контрагентов в маршрутизации ликвидности Ethereum. Хотя 1inch заявляет, что его основные контракты и средства пользователей не пострадали, эпизод выявляет конкретные сбои (защита от повторного воспроизведения, регистрация подписантов, проверка переводов) и публичные перемещения средств, связанные с потоками WETH/USDT/WBTC/USDC. В краткосрочной перспективе это может давить на сентимент и расширять риск-премию для ETH-связанных DeFi-маршрутов, которые полагаются на аналогичные системы резолвера/RFQ. Подход «баунти» в формате «конструктивного» общения может снизить панику в худшем случае, если средства будут возвращены, но до тех пор, пока этот результат не станет ясным, краткосрочное влияние на торговые условия, связанные с Ethereum, скорее всего будет отрицательным, а не нейтральным.