TrustedVolumes підтвердила, що її зламали на приблизно 6,7 мільйона доларів, і заявляє, що готова обговорити винагороду та «взаємоприйнятне рішення» з атакуючим.

У дописі на X пов'язаний з 1inch постачальник ліквідності повідомив, що викрадені кошти наразі знаходяться на трьох адресах, що містять активи на суму близько 3 мільйонів доларів, 3 мільйонів доларів та 700 000 доларів відповідно, і що він «відкритий до конструктивного спілкування» щодо винагороди за вразливість та потенційного повернення коштів. Це розкриття відбулося після попередніх ончейн-сповіщень від безпекових компаній, які вказували, що майже 6 мільйонів доларів вже було виведено з контракту-рішення Ethereum протоколу.

За даними блокчейн-безпекової компанії Blockaid, на яку посилаються в численних звітах про інциденти, атака була спрямована на кастомний проксі-сервер обміну за запитом (RFQ), контрольований TrustedVolumes, а не на стандартний маршрут 1inch. Аналіз на crypto.news зазначив, що з рішення TrustedVolumes було виведено приблизно 5,87 мільйона доларів, включаючи 1291,16 WETH, 206 282 USDT, 16,939 WBTC та 1 268 771 USDC, і що адреса експлойтера, схоже, належить тому ж актору, що стоїть за хаком 1inch Fusion v1 у березні 2025 року.

Останній експлойт знову вразив інфраструктуру, пов'язану з 1inch, не компрометуючи безпосередньо кінцевих користувачів, повторюючи минулорічний інцидент Fusion, під час якого застарілий контракт-рішення був використаний для виведення коштів від стороннього маркет-мейкера — TrustedVolumes — до того, як маршрутизатор було перерозгорнуто. У заяві, підсумованій PANews, 1inch підкреслив, що його основні агрегаційні контракти не постраждали, а вразливість полягала в кастомному дизайні RFQ проксі TrustedVolumes.

Публічна пропозиція TrustedVolumes до взаємодії з атакуючим відображає вже знайому модель у DeFi, де команди намагаються перетворити активні експлойти на події «білого капелюха», пропонуючи винагороди за виявлення помилок та неформальний імунітет. У кількох випадках у 2023–2025 роках, включаючи оригінальний хак 1inch Fusion, переговори призвели до повернення більшості коштів після того, як експлойтера було ідентифіковано або загнано в кут, як це детально описано в окремому звіті crypto.news про той епізод.

Чи прийме атакуючий TrustedVolumes запрошення, буде вирішальним для користувачів та контрагентів. Якщо переговори пройдуть успішно, значна частина з приблизно 6,7 мільйона доларів може повернутися до протоколу, обмежуючи поширення та допомагаючи відновити довіру до маршрутів ліквідності, пов'язаних з 1inch. Якщо ж вони зазнають невдачі, інцидент посилить ширшу тенденцію, яку crypto.news відстежує в інших матеріалах та аналізах: складні актори все частіше націлюються на кастомні проксі та привілейовані контракти, що знаходяться одразу за звичними інтерфейсами DeFi, використовуючи складність, яку більшість роздрібних трейдерів ніколи не бачать.