確認 TrustedVolumes 漏洞利用：RFQ 交換被盜 670 萬美元，尋求對話

TrustedVolumes 證實該次 TrustedVolumes 漏洞利用涉及其控制的一個自訂 RFQ（request-for-quote）交換代理（swap proxy），導致以太坊約 670 萬美元的損失。區塊鏈公司 Blockaid 之前追蹤到近 600 萬美元流向 TrustedVolumes 的以太坊 resolver 合約，事故報告將利用者與 2025 年 3 月的 1inch Fusion v1 事件背後的相同操作者聯繫起來，但漏洞位於 TrustedVolumes 控制的基礎設施中。 技術上，TrustedVolumes 的利用針對的是具特權的 RFQ 代理設計。TrustedVolumes 表示有 3 個錢包地址持有被盜資產（約 300 萬美元、300 萬美元和 70 萬美元）。該公司「願意進行建設性溝通」，並提出類似賞金（bounty）的可互接受方案。安全負責人 Hakan Unal（Cyvers）指出根本原因是允許式簽署者註冊（permissionless signer registration）、失效的重放保護（replay protection）以及未驗證的轉賬來源欄位，令外界擔憂可從已批准賬戶反覆被清空。 1inch 否認有直接參與，聲稱其核心聚合合約和用戶資金「不受影響」，同時承認其將 TrustedVolumes 作為眾多 resolver 之一使用。被引用的主要資金流包括大約 1,291.16 WETH、206,282 USDT、16.939 WBTC 及 1,268,771 USDC 從以太坊 resolver 路由出來。 對交易者而言，短期主要擔憂是與 1inch 相關的流動性及 RFQ 基礎設施的交易對手信心。如果 TrustedVolumes 的被盜資金能被歸還，市場情緒可望穩定；若不能，與 resolver/RFQ 流動相關的受影響 DeFi 流動性場所的風險溢價可能會上升。