يعود مهاجم TrustedVolumes بـ 2 مليون دولار، ويحتفظ بعلاوة أخرى $2M

عاد مهاجم TrustedVolumes المُوثوق به مبلغ 1,122 ETH بقيمة تقارب 2 مليون دولار، مع الاحتفاظ بمبلغ 2 مليون دولار آخر باعتباره مكافأة أعلن عنها لنفسه.

ملخص

• عاد مهاجم TrustedVolumes المُوثوق به مبلغ 1,122 ETH بقيمة تقارب 2 مليون دولار.
• احتفظ المستغل بمبلغ 2 مليون دولار آخر باعتباره مكافأة معلنة لنفسه.
• تتبّعت Blockaid هجوم مايو إلى وكيل تبديل RFQ مخصص تابع لـ TrustedVolumes.

ووفقاً لمراقبة Com Feed، تمثل عملية التحويل على شبكة Ethereum تعافياً جزئياً من استغلال مايو، الذي استنزف في البداية نحو 5.87 مليون دولار من عقد كان يتحكم به مزود السيولة. وقد احتفظ المهاجم تقريباً بالمبلغ نفسه بالدولار مقابل الأموال التي تم إعادتها، مع وصف ذلك بأنه مكافأة.

في وقت كتابة هذا التقرير، لم تؤكد TrustedVolumes رسمياً بعد أنها قبلت شروط مكافأة المهاجم.

السداد الجزئي يستعيد جزءاً فقط من الأموال المسروقة

أفصحت TrustedVolumes في مايو أن إجمالي الخسائر بلغ تقريباً 6.7 مليون دولار، متجاوزاً التقدير الأولي الذي أفاد به باحثون في مجال الأمن. وذكرت الشركة آنذاك أن الأصول المسروقة كانت موزعة على ثلاث عناوين تحتوي على نحو 3 ملايين دولار و3 ملايين دولار و700 ألف دولار.

وبحثاً عن استرداد الأصول، عرضت TrustedVolumes مناقشة مكافأة مقابل الثغرة والحل الذي وصفته بأنه مقبول للطرفين. كما دعا مزود السيولة المهاجم إلى بدء تواصل بنّاء، إلا أن بيانه لم يحدد معدل مكافأة مقترح.

قبل تجميع الرموز المسروقة، حددت Blockaid من بين الأصول التي تم استنزافها 1,291.16 WETH و206,282 USDT و16.939 WBTC و1.27 مليون USDC. وبعد ذلك أفادت PeckShield بأن المهاجم استبدل الرموز وجمع العائدات في حوالي 2,513 ETH.

كانت قيمة الـ 1,122 ETH المُعادة تقارب 2 مليون دولار وقت كتابة هذا التقرير، بينما قيّمت Com Feed مكافأة المهاجم المحتفظ بها بالمبلغ نفسه تقريباً. وتقل القيمة الإجمالية بالدولار عن الخسارة الأصلية لأن ETH قد هبط منذ استغلال مايو، عندما تم تحويل الأصول المسروقة إلى العملة المشفرة.

أدى بروكسي TrustedVolumes المخصص إلى اختراق أمني

كما ورد سابقاً على crypto.news، تتبعت Blockaid هجوم 7 مايو إلى بروكسي تبديل مخصص لطلبات العرض مقابل الأسعار (request-for-quote) يعمل عبر TrustedVolumes. ووفقاً للشركة الأمنية، استهدف المهاجم إعداد مُحلّل Ethereum الخاص بالشركة بدلاً من مسار تبديل 1inch المعتاد.

استخدمت TrustedVolumes نظام RFQ لتسعير أسعار الرموز وإكمال الصفقات الموقعة من مخزونها. ووجدت Verichains أن دالة عامة تفتقر إلى ضوابط وصول، ما سمح للمهاجم بتسجيل عنوان كمُوقّع أوامر معتمد وإنشاء معاملات بدت صالحة للوكيل (proxy).

وخلال المعاملة نفسها، وجّه المهاجم الوكيل لسحب WETH وWBTC وUSDT وUSDC من خزانة مخزون TrustedVolumes. كما حددت Verichains عدم تطابق بين العنوان الذي تم التحقق من التفويض له والعنوان الذي يمدّ الرموز، بينما فشل نظام الحماية من إعادة التشغيل (replay) في تسجيل الأوامر بشكل صحيح.

ورغم أن صانع السوق المتأثر وفر سيولة عبر 1inch، فإن الهجوم لم يخترق العقود الأساسية للتجميع الخاصة بـ 1inch أو مسارات المستخدمين القياسية، وفقاً لسرد 1inch للحادث. وربطت Blockaid المحفظة باستغلال Fusion V1 الذي وقع في مارس 2025، لكنها أفادت بأن هجوم مايو استخدم ثغرة مختلفة مرتبطة ببروكسي TrustedVolumes المخصص.