ยืนยันช่องโหว่ TrustedVolumes: ขโมยสว็อป RFQ มูลค่า $6.7M กำลังมองหาการเจรจา

TrustedVolumes ยืนยันว่าเหตุการณ์การโจมตี TrustedVolumes เกี่ยวข้องกับพร็อกซีสว็อป RFQ (request-for-quote) ที่กำหนดเองซึ่งอยู่ภายใต้การควบคุมของบริษัท โดยมีความสูญเสียรวมประมาณ 6.7 ล้านดอลลาร์บนเครือข่าย Ethereum บริษัทบล็อกเชน Blockaid เคยติดตามเกือบ 6 ล้านดอลลาร์ไปยังสัญญา resolver ของ TrustedVolumes บน Ethereum มาก่อนหน้านี้ และรายงานเหตุการณ์เชื่อมโยงผู้โจมตีเข้ากับผู้ปฏิบัติงานคนเดียวกับที่อยู่เบื้องหลังเหตุการณ์ 1inch Fusion v1 เมื่อมีนาคม 2025 แม้ช่องโหว่จะอยู่ในโครงสร้างพื้นฐานที่ TrustedVolumes ควบคุม ในเชิงเทคนิค การโจมตีมุ่งเป้าไปที่การออกแบบพร็อกซี RFQ ที่มีสิทธิพิเศษ TrustedVolumes ระบุว่า 3 ที่อยู่กระเป๋าถือสินทรัพย์ที่ถูกขโมย (ราว 3 ล้านดอลลาร์, 3 ล้านดอลลาร์ และ 700 พันดอลลาร์) บริษัท "เปิดกว้างต่อการสื่อสารเชิงสร้างสรรค์" และเสนอทางแก้แบบบันทึกบันตี้ที่ยอมรับได้โดยทั้งสองฝ่าย หัวหน้าด้านความปลอดภัย Hakan Unal (Cyvers) ระบุสาเหตุรากเหง้าว่าเป็นการลงทะเบียนผู้ลงนามที่ไม่จำกัดสิทธิ์ การป้องกันการเล่นซ้ำที่ขาดหาย และฟิลด์ต้นทางการโอนที่ไม่ได้รับการตรวจสอบ — ซึ่งก่อให้เกิดความกังวลว่าสามารถทำการระบายซ้ำจากบัญชีที่อนุมัติได้ 1inch ปฏิเสธการมีส่วนร่วมโดยตรง โดยระบุว่าสัญญาแกนรวมและสินทรัพย์ของผู้ใช้ของตน "ไม่ได้รับผลกระทบ" พร้อมยอมรับว่ามีการใช้ TrustedVolumes เป็นหนึ่งในหลาย resolver กระแสสำคัญที่อ้างถึงได้แก่ประมาณ 1,291.16 WETH, 206,282 USDT, 16.939 WBTC และ 1,268,771 USDC ที่ถูกกำหนดเส้นทางมาจาก resolver ของ Ethereum สำหรับนักเทรด ความกังวลระยะสั้นหลักคือความเชื่อมั่นของคู่สัญญาเกี่ยวกับสภาพคล่องที่เกี่ยวเนื่องกับ 1inch และโครงสร้างพื้นฐาน RFQ หากมีการคืนเงินจากการโจมตี TrustedVolumes ความเชื่อมั่นอาจกลับมาเสถียร; หากไม่คืน อัตราพรีเมียมความเสี่ยงอาจเพิ่มขึ้นสำหรับสถานที่ให้สภาพคล่อง DeFi ที่ได้รับผลกระทบซึ่งเชื่อมโยงกับกระแส resolver/RFQ