Підтверджено експлойт TrustedVolumes: крадіжка $6,7 млн у RFQ-свопі, шукають переговори

TrustedVolumes підтвердила, що експлойт TrustedVolumes включав кастомний RFQ (request-for-quote) swap-проксі під її контролем, із загальними втратами близько 6,7 млн доларів на Ethereum. Блокчейн-фірма Blockaid раніше простежила майже 6 млн до resolver-контракту TrustedVolumes в Ethereum, а звіти про інцидент пов’язують експлойтера з тим самим оператором, що стояв за інцидентом 1inch Fusion v1 у березні 2025 року, хоча вразливість знаходиться в інфраструктурі, контрольованій TrustedVolumes. Технічно експлойт націлився на привілейований дизайн RFQ-проксі. TrustedVolumes заявляє, що 3 адреси гаманців містять вкрадені активи (приблизно 3 млн$, 3 млн$ і 700 тис$). Фірма «відкрита до конструктивного спілкування» і пропонує баунті-подібне взаємоприйнятне рішення. Керівник безпеки Hakan Unal (Cyvers) назвав корінною причиною реєстрацію підписантів без дозволів, зламаний replay-захист та невалідоване поле джерела переказу — що викликає побоювання, що злив могло б повторюватися з затверджених акаунтів. 1inch відкидає будь-яку пряму причетність, заявивши, що її основні агрегуючі контракти та кошти користувачів «не постраждали», водночас визнаючи, що використовує TrustedVolumes як одного з багатьох resolver-ів. Серед ключових згаданих потоків — приблизно 1 291,16 WETH, 206 282 USDT, 16,939 WBTC та 1 268 771 USDC, які пройшли через Ethereum-resolver. Для трейдерів основна короткострокова тривога — довіра контрагентів щодо ліквідності, пов’язаної з 1inch, та інфраструктури RFQ. Якщо кошти від експлойту TrustedVolumes будуть повернені, настрої можуть стабілізуватися; якщо ні — ризикові премії можуть зрости для постраждалих DeFi-платформ ліквідності, пов’язаних із потоками resolver/RFQ.