TrustedVolumes, провайдер ліквідності, який використовується численними протоколами DeFi, постраждав від експлойту, який наразі викачав близько $6.7 мільйона коштів.

Система виявлення експлойтів блокчейн-аналітичної фірми Blockaid ідентифікувала контракт-жертву як розв'язувач TrustedVolumes на Ethereum, при цьому зловмисник вилучив приблизно 1,291 WETH, 206,282 USDT, 16.93 WBTC та 1.26 мільйона USDC.

Фірма позначила зловмисника як того ж оператора, що стояв за інцидентом 1inch Fusion V1 у березні 2025 року, використовуючи іншу вразливість, цього разу в керованому TrustedVolumes кастомному проксі для RFQ-свопів.

RFQ, або запит на котирування, своп-проксі – це контракт, який обробляє цінові котирування та обмін токенів між маркет-мейкером і трейдерами.

TrustedVolumes підтвердив злам, опублікувавши три адреси гаманців, що утримують викрадені кошти, приблизно $3 мільйони, $3 мільйони та $700,000, і заявив, що він "відкритий до конструктивного спілкування щодо винагороди за знаходження вразливості та взаємоприйнятного вирішення".

Хакан Унал, старший керівник з питань безпеки в крипто-безпековій фірмі Cyvers, повідомив Decrypt, що першопричиною стала комбінація "неавторизованої реєстрації підписувача, зламаного захисту від повторного відтворення та невалідованого поля джерела переказу".

Ці недоліки дозволили зловмиснику діяти як довіреному підписувачу та спустошувати рахунки жертв без належної авторизації, при цьому кошти були спрямовані через ризиковану біржу без KYC ChangeNow, перш ніж їх обміняли на ETH, додав він.

"Збитки могли бути значно більшими", - сказав Унал. "За умови нефункціонального захисту від повторного відтворення, зловмисник міг би потенційно спустошувати додаткові схвалені рахунки багаторазово".

Decrypt звернувся до TrustedVolumes за коментарем.

1inch дистанціюється

Агрегатор DeFi 1inch відкинув повідомлення, які безпосередньо пов'язували платформу зі зламом, представляючи це як атаку на сам протокол.

"Ми можемо підтвердити, що ані 1inch, ані жоден з протоколів 1inch не причетні", - написав 1inch у Твіттері. "Немає жодного впливу на системи, інфраструктуру чи кошти користувачів 1inch".

"З точки зору перевірки та моніторингу, ми співпрацюємо з нашими партнерами з безпеки, щоб зрозуміти специфіку того, як стався цей експлойт, і ми будемо враховувати будь-які відповідні висновки в наших поточних процесах безпеки та інтеграції", - повідомив представник 1inch Decrypt.

Якщо провайдер "недоступний або скомпрометований, інші продовжують обслуговувати користувачів без перебоїв", при цьому ця "вбудована надмірність" є ключовим принципом дизайну, який "спрацював саме так, як передбачалося в цьому випадку", - додав представник.

"Хоча це правда, що 1inch використовує TrustedVolumes як розв'язувач, ми є лише одним з багатьох. Подача цієї історії є в кінцевому підсумку заплутаною та шкідливою", - написав у Твіттері співзасновник 1inch Сергій Кунц.

Атаки на DeFi

"Що вражає в інциденті з TrustedVolumes, так це те, що той самий зловмисник двічі, з інтервалом у кілька місяців, атакував різні контракти", - повідомив Decrypt Нік Гарріс, засновник і генеральний директор платформи з відновлення криптоактивів CryptoCare, описуючи виконавця як "терплячого, цілеспрямованого оператора", а не опортуністичного хакера. Він попередив, що пережиття експлойту не обов’язково усуває ризик, а може натомість "відкрити новий".

Експлойт TrustedVolumes стався після жорстокого періоду для DeFi, коли північнокорейські хакери викачали $285 мільйонів з Drift Protocol, а Kelp DAO втратив $293 мільйони в атаці, яку він звинуватив у компрометації інфраструктури LayerZero.

Злам Kelp з тих пір перейшов у федеральний суд США, де Aave бореться за розблокування $71 мільйона заморожених коштів користувачів на Arbitrum.