أعاد مهاجم TrustedVolumes ما قيمته 1,122 إيثريوم (ETH) أي حوالي 2 مليون دولار أمريكي، بينما احتفظ بمبلغ 2 مليون دولار أخرى كمكافأة أعلنها بنفسه.
وفقًا لرصد Com Feed، يمثل تحويل الإيثريوم استعادة جزئية من استغلال مايو، الذي استنزف في البداية حوالي 5.87 مليون دولار من عقد يتحكم فيه مزود السيولة. احتفظ المهاجم بنفس المبلغ الدولاري تقريبًا كالأموال المستعادة، واصفًا إياه بمكافأة.
حتى وقت كتابة هذا التقرير، لم تؤكد TrustedVolumes رسميًا قبولها لشروط المكافأة التي وضعها المهاجم.
كشفت TrustedVolumes في مايو أن إجمالي الخسارة وصل إلى حوالي 6.7 مليون دولار، متجاوزًا التقدير الأولي الذي أعلنه باحثو الأمن. وقالت الشركة في ذلك الوقت إن الأصول المسروقة كانت موزعة على ثلاثة عناوين تحتوي على ما يقرب من 3 ملايين دولار و 3 ملايين دولار و 700,000 دولار.
سعيًا لاستعادة الأصول، عرضت TrustedVolumes مناقشة مكافأة اكتشاف الثغرات وما أسمته حلاً مقبولاً للطرفين. كما دعا مزود السيولة المهاجم لبدء تواصل بناء، على الرغم من أن بيانه لم يحدد معدل مكافأة مقترح.
قبل دمج الرموز المسروقة، حددت Blockaid 1,291.16 WETH، و 206,282 USDT، و 16.939 WBTC، و 1.27 مليون USDC من بين الأصول المستنزفة. أفاد PeckShield لاحقًا أن المهاجم قام بتبادل الرموز وجمع العائدات في حوالي 2,513 إيثريوم.
كانت قيمة الإيثريوم المستعادة البالغ عددها 1,122 حوالي 2 مليون دولار وقت كتابة هذا التقرير، بينما قدرت Com Feed المكافأة التي احتفظ بها المهاجم بمبلغ مماثل. القيمة الدولارية المجمعة أقل من الخسارة الأصلية لأن قيمة الإيثريوم قد انخفضت منذ استغلال مايو، عندما تم تحويل الأصول المسروقة إلى العملة المشفرة.
كما أفاد موقع crypto.news سابقًا، تتبعت Blockaid هجوم 7 مايو إلى وكيل مقايضة مخصص لطلب عرض السعر (RFQ) تديره TrustedVolumes. وفقًا لشركة الأمن، استهدف المهاجم إعداد مُحلّل الإيثريوم الخاص بالشركة بدلاً من مسار مقايضة 1inch العادي.
استخدمت TrustedVolumes نظام RFQ لتسعير الرموز وإتمام الصفقات الموقعة من مخزونها. وجدت Verichains أن وظيفة عامة تفتقر إلى ضوابط الوصول، مما سمح للمهاجم بتسجيل عنوان كموقع أمر معتمد وإنشاء معاملات بدت صالحة للوكيل.
خلال نفس المعاملة، وجه المهاجم الوكيل لسحب WETH و WBTC و USDT و USDC من خزانة مخزون TrustedVolumes. حددت Verichains أيضًا عدم تطابق بين العنوان الذي تم التحقق من صلاحيته والعنوان الذي يزود الرموز، بينما فشلت حماية إعادة التشغيل المعيبة في تسجيل الأوامر بشكل صحيح.
على الرغم من أن مزود السيولة المتأثر قدم السيولة عبر 1inch، فإن الهجوم لم يؤثر على عقود التجميع الأساسية لـ 1inch أو مسارات المستخدم القياسية، وفقًا لرواية 1inch للحادث. ربطت Blockaid المحفظة باستغلال Fusion V1 في مارس 2025، لكنها أفادت بأن هجوم مايو استخدم ثغرة مختلفة مرتبطة بوكيل TrustedVolumes المخصص.
