Penyerang TrustedVolumes telah mengembalikan 1.122 ETH senilai sekitar $2 juta sambil menahan $2 juta lainnya sebagai hadiah (bounty) yang dideklarasikan sendiri.
Menurut pemantauan Com Feed, transfer Ethereum ini merupakan pemulihan sebagian dari eksploitasi bulan Mei, yang awalnya menguras sekitar $5,87 juta dari kontrak yang dikendalikan oleh penyedia likuiditas. Penyerang telah menahan jumlah dolar yang kira-kira sama dengan dana yang dikembalikan, melabelinya sebagai hadiah (bounty).
Pada saat penulisan, TrustedVolumes belum secara resmi mengonfirmasi bahwa mereka telah menerima syarat hadiah (bounty) penyerang.
TrustedVolumes mengungkapkan pada bulan Mei bahwa total kerugian telah mencapai sekitar $6,7 juta, melebihi perkiraan awal yang dilaporkan oleh peneliti keamanan. Perusahaan mengatakan pada saat itu aset yang dicuri disimpan di tiga alamat yang masing-masing berisi sekitar $3 juta, $3 juta, dan $700.000.
Berusaha memulihkan aset, TrustedVolumes menawarkan untuk membahas hadiah kerentanan (vulnerability bounty) dan apa yang disebutnya sebagai solusi yang saling menguntungkan. Penyedia likuiditas juga mengundang penyerang untuk memulai komunikasi yang konstruktif, meskipun pernyataannya tidak merinci tingkat hadiah (bounty) yang diusulkan.
Sebelum token yang dicuri dikonsolidasikan, Blockaid mengidentifikasi 1.291,16 WETH, 206.282 USDT, 16.939 WBTC, dan 1,27 juta USDC di antara aset yang terkuras. PeckShield kemudian melaporkan bahwa penyerang menukar token-token tersebut dan mengumpulkan hasilnya menjadi sekitar 2.513 ETH.
1.122 ETH yang dikembalikan bernilai sekitar $2 juta pada saat penulisan, sementara Com Feed menilai hadiah (bounty) yang ditahan penyerang dengan jumlah yang serupa. Nilai dolar gabungan lebih rendah dari kerugian awal karena ETH telah jatuh sejak eksploitasi bulan Mei, ketika aset yang dicuri dikonversi menjadi mata uang kripto tersebut.
Seperti yang sebelumnya dilaporkan oleh crypto.news, Blockaid melacak serangan 7 Mei ke proxy swap request-for-quote (RFQ) kustom yang dioperasikan oleh TrustedVolumes. Menurut perusahaan keamanan tersebut, penyerang menargetkan pengaturan resolver Ethereum perusahaan, bukan rute swap 1inch biasa.
TrustedVolumes menggunakan sistem RFQ untuk mengutip harga token dan menyelesaikan perdagangan yang ditandatangani dari inventarisnya. Verichains menemukan bahwa fungsi publik tidak memiliki kontrol akses, memungkinkan penyerang mendaftarkan alamat sebagai penanda tangan pesanan yang disetujui dan membuat transaksi yang tampak valid bagi proxy.
Selama transaksi yang sama, penyerang mengarahkan proxy untuk menarik WETH, WBTC, USDT, dan USDC dari brankas inventaris TrustedVolumes. Verichains juga mengidentifikasi ketidakcocokan antara alamat yang diperiksa untuk otorisasi dan alamat yang memasok token, sementara perlindungan replay yang cacat gagal mencatat pesanan dengan benar.
Meskipun pembuat pasar yang terpengaruh menyediakan likuiditas melalui 1inch, serangan itu tidak membahayakan kontrak agregasi inti 1inch atau rute pengguna standar, menurut penjelasan 1inch tentang insiden tersebut. Blockaid mengaitkan dompet tersebut dengan eksploitasi Fusion V1 Maret 2025 tetapi melaporkan bahwa serangan bulan Mei menggunakan celah yang berbeda yang terkait dengan proxy kustom TrustedVolumes.
