TrustedVolumes-exploit bekräftad: $6,7M RFQ-swapstöld, samtal efterfrågas

TrustedVolumes bekräftade att TrustedVolumes-attacken involverade en anpassad RFQ (request-for-quote) swap-proxy under dess kontroll, med förluster på cirka 6,7 miljoner dollar på Ethereum. Blockchain-företaget Blockaid spårade tidigare nästan 6 miljoner dollar till TrustedVolumes Ethereum-resolverkontrakt, och incidentrapporter kopplar exploatören till samma aktör bakom mars 2025-incidenten med 1inch Fusion v1, även om sårbarheten ligger i TrustedVolumes-kontrollerad infrastruktur. Tekniskt riktade TrustedVolumes-exploiten mot den privilegierade RFQ-proxydesignen. TrustedVolumes uppger att tre plånboksadresser håller de stulna tillgångarna (ungefär 3 miljoner dollar, 3 miljoner dollar och 700 000 dollar). Företaget är "öppet för konstruktiv kommunikation" och föreslår en bounty-liknande, ömsesidigt acceptabel lösning. Säkerhetsansvarige Hakan Unal (Cyvers) tillskrivs grundorsaken till tillåten registrering av signatörer, bruten skydd mot uppspelning (replay protection) och ett ovalidat överföringskällfält—vilket väcker oro för att tömning kunde ha upprepats från godkända konton. 1inch avvisade direkt inblandning och uppgav att dess kärnaggregationskontrakt och användarnas medel "påverkades inte", samtidigt som man erkände att den använder TrustedVolumes som en av många resolvers. Viktiga flöden som citeras inkluderar ungefär 1 291,16 WETH, 206 282 USDT, 16,939 WBTC och 1 268 771 USDC som routats från Ethereum-resolvern. För handlare är den viktigaste kortsiktiga frågan motpartsförtroende kring 1inch-relaterad likviditet och RFQ-infrastruktur. Om TrustedVolumes-exploitatörens medel återlämnas kan sentimentet stabiliseras; om inte kan riskpremierna öka för påverkade DeFi-likviditetsplattformar som är knutna till resolver-/RFQ-flöden.