O atacante do TrustedVolumes devolve US$ 2 milhões e mantém outro $2M como recompensa

Um atacante da TrustedVolumes devolveu 1.122 ETH no valor de cerca de US$ 2 milhões, mantendo outros US$ 2 milhões como uma recompensa (bounty) declarada por ele mesmo.

Resumo

• O atacante da TrustedVolumes devolveu 1.122 ETH no valor de cerca de US$ 2 milhões.
• O explorador manteve mais US$ 2 milhões como uma recompensa (bounty) declarada.
• A Blockaid rastreou o ataque de maio até o proxy de swap RFQ customizado da TrustedVolumes.

De acordo com o monitoramento do Com Feed, a transferência na rede Ethereum representa uma recuperação parcial do exploit de maio, que inicialmente drenou cerca de US$ 5,87 milhões de um contrato controlado pelo provedor de liquidez. O atacante reteve aproximadamente o mesmo valor em dólares dos fundos devolvidos, rotulando isso como uma bounty.

No momento em que este texto foi escrito, a TrustedVolumes não havia confirmado formalmente que aceitou os termos da recompensa (bounty) do atacante.

Reembolso parcial recupera apenas parte dos fundos roubados

A TrustedVolumes divulgou em maio que a perda total chegou a cerca de US$ 6,7 milhões, superando a estimativa inicial reportada por pesquisadores de segurança. A empresa disse na época que os ativos roubados estavam distribuídos em três endereços com aproximadamente US$ 3 milhões, US$ 3 milhões e US$ 700.000.

Buscando recuperar os ativos, a TrustedVolumes ofereceu discutir uma recompensa por vulnerabilidade e aquilo que chamou de uma solução mutuamente aceitável. O provedor de liquidez também convidou o atacante a iniciar uma comunicação construtiva, embora sua declaração não especificasse uma taxa proposta de bounty.

Antes que os tokens roubados fossem consolidados, a Blockaid identificou 1.291,16 WETH, 206.282 USDT, 16,939 WBTC e 1,27 milhão de USDC entre os ativos drenados. Mais tarde, a PeckShield informou que o atacante trocou os tokens e juntou os proventos em cerca de 2.513 ETH.

Os 1.122 ETH devolvidos valiam cerca de US$ 2 milhões no momento em que este texto foi escrito, enquanto o Com Feed avaliou a bounty retida pelo atacante em um valor semelhante. O valor combinado em dólares é menor do que a perda original porque o ETH caiu desde o exploit de maio, quando os ativos roubados foram convertidos na criptomoeda.

Proxy customizado da TrustedVolumes causou a violação de segurança

Conforme já reportado pela crypto.news, a Blockaid rastreou o ataque de 7 de maio até um proxy de swap de request-for-quote (RFQ) customizado operado pela TrustedVolumes. Segundo a empresa de segurança, o atacante mirou a configuração do resolvedor de Ethereum da empresa, e não uma rota regular de swap da 1inch.

A TrustedVolumes usou o sistema RFQ para cotar preços de tokens e concluir trades assinados a partir de seu inventário. A Verichains encontrou que uma função pública não tinha controles de acesso, permitindo que o atacante registrasse um endereço como signatário de pedido aprovado e criasse transações que pareciam válidas para o proxy.

Na mesma transação, o atacante direcionou o proxy a puxar WETH, WBTC, USDT e USDC do cofre de inventário da TrustedVolumes. A Verichains também identificou uma discrepância entre o endereço verificado para autorização e o endereço que fornecia os tokens, enquanto a proteção de replay com falhas não registrou os pedidos corretamente.

Embora o market maker afetado fornecesse liquidez via 1inch, o ataque não comprometeu os contratos centrais de agregação da 1inch nem as rotas padrão de usuários, de acordo com o relato da 1inch sobre o incidente. A Blockaid vinculou a carteira ao exploit Fusion V1 de março de 2025, mas informou que o ataque de maio usou uma falha diferente ligada ao proxy customizado da TrustedVolumes.