El atacante de TrustedVolumes devuelve 2 millones de dólares y conserva otro $2M como recompensa

Un atacante de TrustedVolumes ha devuelto 1.122 ETH por un valor de aproximadamente 2 millones de dólares, mientras conserva otros 2 millones de dólares como una recompensa anunciada por él mismo.

Resumen

• El atacante de TrustedVolumes devolvió 1.122 ETH por un valor de aproximadamente 2 millones de dólares.
• El explotador retuvo otros 2 millones de dólares como una recompensa declarada por él mismo.
• Blockaid rastreó el ataque de mayo hasta el proxy de intercambio RFQ personalizado de TrustedVolumes.

De acuerdo con el monitoreo de Com Feed, la transferencia en Ethereum representa una recuperación parcial del exploit de mayo, que inicialmente drenó aproximadamente 5,87 millones de dólares desde un contrato controlado por el proveedor de liquidez. El atacante ha retenido alrededor de la misma cantidad en dólares que los fondos devueltos, etiquetándola como una recompensa.

Al momento de redactar este artículo, TrustedVolumes no había confirmado formalmente que hubiera aceptado los términos de recompensa del atacante.

El reembolso parcial solo recupera una parte de los fondos robados

TrustedVolumes reveló en mayo que la pérdida total había alcanzado aproximadamente 6,7 millones de dólares, superando la estimación inicial reportada por investigadores de seguridad. La empresa dijo en ese momento que los activos robados se mantenían en tres direcciones que contenían aproximadamente 3 millones de dólares, 3 millones de dólares y 700.000 dólares.

En su búsqueda de recuperar los activos, TrustedVolumes ofreció discutir una recompensa por vulnerabilidad y lo que llamó una solución mutuamente aceptable. El proveedor de liquidez también invitó al atacante a iniciar una comunicación constructiva, aunque su declaración no especificó una tarifa de recompensa propuesta.

Antes de que los tokens robados se consolidaran, Blockaid identificó 1.291,16 WETH, 206.282 USDT, 16,939 WBTC y 1,27 millones de USDC entre los activos drenados. PeckShield informó más tarde que el atacante intercambió los tokens y reunió las ganancias en cerca de 2.513 ETH.

Los 1.122 ETH devueltos valían aproximadamente 2 millones de dólares al momento de redactar este artículo, mientras que Com Feed valoró la recompensa retenida por el atacante en una cantidad similar. El valor combinado en dólares es menor que la pérdida original porque el ETH ha caído desde el exploit de mayo, cuando los activos robados se convirtieron en la criptomoneda.

El proxy personalizado de TrustedVolumes causó la brecha de seguridad

Como se informó previamente por crypto.news, Blockaid rastreó el ataque del 7 de mayo hasta un proxy de intercambio personalizado request-for-quote operado por TrustedVolumes. Según la firma de seguridad, el atacante apuntó a la configuración del resolvedor de Ethereum de la empresa, en lugar de una ruta de intercambio regular de 1inch.

TrustedVolumes utilizó el sistema RFQ para cotizar precios de tokens y completar operaciones firmadas desde su inventario. Verichains encontró que una función pública carecía de controles de acceso, lo que permitía al atacante registrar una dirección como firmante de órdenes aprobado y crear transacciones que parecían válidas para el proxy.

Durante la misma transacción, el atacante dirigió al proxy a extraer WETH, WBTC, USDT y USDC del vault de inventario de TrustedVolumes. Verichains también identificó una discrepancia entre la dirección verificada para la autorización y la dirección que suministraba los tokens, mientras que una protección de replay defectuosa no logró registrar las órdenes correctamente.

Aunque el market maker afectado suministró liquidez mediante 1inch, el ataque no comprometió los contratos de agregación principales de 1inch ni las rutas estándar de usuarios, según el relato del incidente por 1inch. Blockaid vinculó la billetera con el exploit Fusion V1 de marzo de 2025, pero reportó que el ataque de mayo usó una falla distinta relacionada con el proxy personalizado de TrustedVolumes.