Xác nhận lỗ hổng TrustedVolumes: đánh cắp $6,7M hoán đổi RFQ, tìm kiếm đàm phán

TrustedVolumes xác nhận vụ khai thác TrustedVolumes liên quan đến một proxy hoán đổi RFQ (request-for-quote) tùy chỉnh dưới sự kiểm soát của họ, với tổng thiệt hại khoảng 6,7 triệu USD trên Ethereum. Công ty blockchain Blockaid trước đó đã truy vết gần 6 triệu USD đến hợp đồng resolver của TrustedVolumes trên Ethereum, và báo cáo sự cố liên kết kẻ khai thác với cùng một người điều hành đứng sau sự cố 1inch Fusion v1 vào tháng 3/2025, mặc dù lỗi nằm trong cơ sở hạ tầng do TrustedVolumes kiểm soát. Về mặt kỹ thuật, vụ khai thác nhắm vào thiết kế proxy RFQ có đặc quyền. TrustedVolumes cho biết 3 địa chỉ ví giữ tài sản bị đánh cắp (khoảng 3 triệu USD, 3 triệu USD và 700 nghìn USD). Công ty “cởi mở với liên lạc mang tính xây dựng” và đề xuất một giải pháp kiểu tiền thưởng được hai bên chấp nhận. Trưởng bộ phận bảo mật Hakan Unal (Cyvers) quy nguyên nhân gốc rễ cho việc đăng ký signer không bị hạn chế, bảo vệ chống replay bị lỗi và trường nguồn chuyển không được xác thực — gây lo ngại rằng việc rút tiền có thể đã lặp lại từ các tài khoản đã được phê duyệt. 1inch bác bỏ mọi liên quan trực tiếp, nói rằng các hợp đồng tổng hợp lõi và quỹ người dùng của họ “không bị ảnh hưởng”, đồng thời thừa nhận họ sử dụng TrustedVolumes như một trong nhiều resolver. Các luồng chính được trích dẫn bao gồm khoảng 1.291,16 WETH, 206.282 USDT, 16,939 WBTC và 1.268.771 USDC được định tuyến từ resolver trên Ethereum. Đối với các nhà giao dịch, mối quan tâm ngắn hạn chính là niềm tin đối tác xung quanh tính thanh khoản liên quan đến 1inch và cơ sở hạ tầng RFQ. Nếu tiền của vụ khai thác TrustedVolumes được trả lại, tâm lý có thể ổn định; nếu không, phí rủi ro có thể tăng đối với các địa điểm thanh khoản DeFi bị ảnh hưởng liên quan đến luồng resolver/RFQ.