TrustedVolumes, un furnizor de lichiditate folosit de multiple protocoale DeFi, a fost victima unui exploit care a secătuit până acum aproximativ 6,7 milioane de dolari în fonduri.

Sistemul de detectare a exploit-urilor al firmei de analiză blockchain Blockaid a identificat contractul victimă ca fiind rezolvatorul TrustedVolumes pe Ethereum, atacatorul extrăgând aproximativ 1.291 WETH, 206.282 USDT, 16.93 WBTC și 1,26 milioane USDC.

Firma l-a semnalat pe exploatator ca fiind același operator din spatele incidentului 1inch Fusion V1 din martie 2025, utilizând o vulnerabilitate diferită, de această dată într-un proxy de swap RFQ personalizat controlat de TrustedVolumes.

Un proxy de swap RFQ, sau cerere de ofertă (request-for-quote), este un contract care gestionează cotațiile de preț și schimburile de tokenuri între un market maker și traderi.

TrustedVolumes a confirmat breșa, publicând trei adrese de portofel care dețin fondurile furate, aproximativ 3 milioane de dolari, 3 milioane de dolari și 700.000 de dolari, și a declarat că este "deschis la o comunicare constructivă privind un program de recompensare a erorilor și o rezoluție reciproc acceptabilă."

Hakan Unal, șeful operațiunilor de securitate la firma de securitate cripto Cyvers, a declarat pentru Decrypt că rădăcina problemei a fost o combinație de "înregistrare a semnatarilor fără permisiuni, protecție la reluare defectuoasă și un câmp de sursă de transfer nevalidat."

Vulnerabilitățile i-au permis atacatorului să acționeze ca un semnatar de încredere și să secătuiască victimele fără autorizație validă, fondurile fiind dirijate prin schimbul de risc ridicat fără KYC ChangeNow înainte de a fi schimbate în ETH, a adăugat el.

"Daunele ar fi putut fi mult mai mari," a spus Unal. "Cu protecția la reluare nefuncțională, atacatorul ar fi putut potențial să secătuiască în mod repetat conturi suplimentare aprobate."

Decrypt a contactat TrustedVolumes pentru comentarii.

1inch se distanțează

Agregatorul DeFi 1inch a reacționat după ce rapoartele au legat platforma direct de breșă, prezentând-o ca pe un atac la adresa protocolului însuși.

"Putem confirma că nici 1inch, nici vreunul dintre protocoalele 1inch nu sunt implicate," a scris 1inch pe Twitter. "Nu există niciun impact asupra sistemelor 1inch, infrastructurii sau fondurilor utilizatorilor."

"Din perspectiva verificării și monitorizării, lucrăm alături de partenerii noștri de securitate pentru a înțelege specificul modului în care a avut loc acest exploit și vom încorpora orice constatări relevante în procesele noastre continue de securitate și integrare," a declarat un purtător de cuvânt al 1inch pentru Decrypt.

Dacă un furnizor este "indisponibil sau compromis, alții continuă să servească utilizatorii fără întrerupere," această "redundantă încorporată" fiind un principiu de design fundamental care "a funcționat exact conform intenției în acest caz," a adăugat purtătorul de cuvânt.

"Deși este adevărat că 1inch folosește TrustedVolumes ca rezolvator, suntem unul dintre mulți. Încadrarea acestei povești este în cele din urmă confuză și dăunătoare," a scris pe Twitter co-fondatorul 1inch, Sergej Kunz.

Atacuri asupra DeFi

"Ceea ce este frapant în legătură cu incidentul TrustedVolumes este că același atacator a lovit de două ori, la câteva luni distanță, împotriva unor contracte diferite," a declarat Nick Harris, fondator și CEO al platformei de recuperare a activelor cripto CryptoCare, pentru Decrypt, descriind autorul ca fiind un "operator răbdător, țintit" mai degrabă decât un hacker oportunist. El a avertizat că supraviețuirea unui exploit nu închide neapărat riscul, ci poate "deschide unul nou."

Exploit-ul TrustedVolumes urmează unei perioade brutale pentru DeFi, cu hackeri nord-coreeni care au secătuit 285 de milioane de dolari de la Drift Protocol și Kelp DAO pierzând 293 de milioane de dolari într-un atac pe care l-a atribuit infrastructurii LayerZero compromise.

Hack-ul Kelp a ajuns de atunci într-un tribunal federal din SUA, unde Aave se luptă să deblocheze 71 de milioane de dolari în fonduri de utilizator înghețate pe Arbitrum.