TrustedVolumes, ein Liquiditätsanbieter und Market Maker, der mit 1inch verbunden ist, wurde Opfer eines laufenden Exploits, der etwa 5,87 Millionen US-Dollar aus seinem Ethereum Resolver-Vertrag abgezogen hat, laut dem Blockchain-Sicherheitsunternehmen Blockaid.
Zu den gestohlenen Vermögenswerten gehörten 1.291,16 WETH, 206.282 USDT, 16.939 WBTC und 1.268.771 USDC. Der Angriff betraf einen von TrustedVolumes kontrollierten benutzerdefinierten RFQ-Swap-Proxy, nicht eine standardmäßige Benutzer-Swap-Route.
Blockaid gab an, dass der Angreifer derselbe Akteur war, der mit dem 1inch Fusion V1 Exploit vom März 2025 in Verbindung gebracht wurde. Das Unternehmen erklärte jedoch, dass der jüngste Fall eine andere Schwachstelle ausnutzte, die mit dem benutzerdefinierten RFQ-Swap-Proxy von TrustedVolumes zusammenhängt.
Der Vorfall vom März 2025 betraf auch Drittanbieter-Resolver, die 1inch Fusion V1 nutzten. BlockSec erklärte später, dass dieser Exploit Verluste von mehr als 5 Millionen US-Dollar verursachte, nachdem Angreifer unsichere Calldata-Verarbeitung und Resolver-Vertrauensannahmen missbrauchten.
CertiK Alert, zitiert von Binance News, gab an, dass der Angreifer eine öffentliche Funktion nutzte, um sich als AllowedOrderSigner zu registrieren. Der Angreifer führte dann Aufträge aus, die vorab genehmigte Gelder von der Opferadresse verschoben. CertiK riet Benutzern, Genehmigungen, die mit dem betroffenen Vertrag verbunden sind, zu widerrufen.
Der Angriff auf TrustedVolumes erfolgte nach einem schwierigen April für die DeFi-Sicherheit. Crypto.news berichtete, dass Protokolle allein in den ersten 18 Apriltagen mehr als 606 Millionen US-Dollar verloren haben, basierend auf Daten von DefiLlama.
Diese Summe wurde von zwei großen Fällen angeführt. Das Drift Protocol verlor etwa 285 Millionen US-Dollar, während Kelp DAO etwa 292 Millionen US-Dollar verlor. Crypto.news erklärte, dass diese beiden Exploits die meisten der zu diesem Zeitpunkt erfassten Verluste im April ausmachten.
In einem separaten Update berichtete crypto.news, dass das Wasabi Protocol mehr als 5 Millionen US-Dollar über Ethereum, Base, Berachain und Blast verloren hat. Sicherheitsfirmen sagten, dass ein kompromittierter Admin-Schlüssel es Angreifern ermöglichte, Verträge zu aktualisieren und Gelder abzuziehen.
Der Fall TrustedVolumes lenkt die Aufmerksamkeit erneut auf Resolver-Verträge, Genehmigungssysteme und benutzerdefinierte Market-Making-Tools. Diese Systeme benötigen oft spezielle Berechtigungen, um Gelder zu verschieben und Transaktionen schnell abzuschließen.
Diese Struktur kann Risiken schaffen, wenn Berechtigungen aktiv bleiben, nachdem Verträge anfällig geworden sind. Sie kann auch Verluste vergrößern, wenn Angreifer einen Weg finden, als vertrauenswürdige Unterzeichner zu agieren oder Gelder über genehmigte Verträge zu leiten.
Der Vorfall zeigt nicht, dass alle 1inch-Benutzer direkt betroffen waren. Die verfügbaren Berichte weisen auf die eigene Resolver- und RFQ-Proxy-Einrichtung von TrustedVolumes als den betroffenen Bereich hin.
