Зловмисник TrustedVolumes повернув 1122 ETH на суму близько 2 мільйонів доларів, залишивши ще 2 мільйони доларів як самостійно оголошену винагороду.
Згідно з моніторингом Com Feed, переказ Ethereum є частковим відшкодуванням збитків від травневого експлойту, який спочатку вивів близько 5,87 мільйона доларів з контракту, контрольованого постачальником ліквідності. Зловмисник залишив собі приблизно ту ж доларову суму, що й повернуті кошти, назвавши це винагородою.
На момент написання TrustedVolumes офіційно не підтвердила, що прийняла умови винагороди зловмисника.
TrustedVolumes у травні повідомила, що загальні втрати сягнули приблизно 6,7 мільйона доларів, перевищивши початкову оцінку, повідомлену дослідниками безпеки. Тоді компанія заявила, що викрадені активи зберігалися на трьох адресах, що містили приблизно 3 мільйони доларів, 3 мільйони доларів та 700 000 доларів.
Прагнучи повернути активи, TrustedVolumes запропонувала обговорити винагороду за вразливість та те, що вона назвала взаємоприйнятним рішенням. Постачальник ліквідності також запросив зловмисника розпочати конструктивне спілкування, хоча в його заяві не вказувалася запропонована ставка винагороди.
До того, як викрадені токени були консолідовані, Blockaid ідентифікувала 1291,16 WETH, 206 282 USDT, 16,939 WBTC та 1,27 мільйона USDC серед виведених активів. Пізніше PeckShield повідомила, що зловмисник обміняв токени та зібрав доходи в близько 2513 ETH.
Повернені 1122 ETH коштували близько 2 мільйонів доларів на момент написання, тоді як Com Feed оцінила залишену зловмисником винагороду в аналогічну суму. Сукупна доларова вартість нижча за початкові втрати, оскільки ETH впав з моменту травневого експлойту, коли викрадені активи були конвертовані в криптовалюту.
Як раніше повідомляв crypto.news, Blockaid відстежила атаку 7 травня до кастомного проксі для обміну за запитом ціни (RFQ своп-проксі), що керується TrustedVolumes. За даними компанії з безпеки, зловмисник націлився на налаштування Ethereum-розв'язувача компанії, а не на звичайний маршрут обміну 1inch.
TrustedVolumes використовувала систему RFQ для котирування цін токенів та здійснення підписаних угод зі свого інвентарю. Verichains виявила, що публічна функція не мала контролю доступу, дозволивши зловмиснику зареєструвати адресу як затвердженого підписувача ордерів та створювати транзакції, які здавалися дійсними для проксі.
Під час тієї ж транзакції зловмисник наказав проксі вивести WETH, WBTC, USDT та USDC зі сховища інвентарю TrustedVolumes. Verichains також виявила невідповідність між адресою, перевіреною на авторизацію, та адресою, що надавала токени, тоді як несправний захист від повторних атак не зміг правильно записати ордери.
Хоча постраждалий маркет-мейкер надавав ліквідність через 1inch, атака не скомпрометувала основні агрегаційні контракти 1inch або стандартні маршрути користувачів, згідно з повідомленням 1inch про інцидент. Blockaid пов'язала гаманець з експлойтом Fusion V1 у березні 2025 року, але повідомила, що травнева атака використала інший недолік, пов'язаний з кастомним проксі TrustedVolumes.
ETH
USDT
