O atacante do TrustedVolumes devolve $2M, mantendo outro $2M como recompensa

Um atacante do TrustedVolumes devolveu 1.122 ETH no valor de cerca de $2 milhões, mantendo outros $2 milhões como uma recompensa declarada por si próprio.

Resumo

• O atacante do TrustedVolumes devolveu 1.122 ETH no valor de cerca de $2 milhões.
• O explorador reteve outros $2 milhões como uma recompensa declarada por si próprio.
• A Blockaid rastreou o ataque de maio até ao custom RFQ swap proxy do TrustedVolumes.

De acordo com o monitoramento da Com Feed, a transferência de Ethereum representa uma recuperação parcial do exploit de maio, que inicialmente drenou cerca de $5,87 milhões de um contrato controlado pelo prestador de liquidez. O atacante reteve aproximadamente o mesmo valor em dólares do que foi devolvido, rotulando-o como uma recompensa.

No momento da redação, o TrustedVolumes não tinha confirmado formalmente que aceitou os termos da recompensa apresentados pelo atacante.

Devolução parcial recupera apenas parte dos fundos roubados

O TrustedVolumes divulgou em maio que a perda total tinha atingido cerca de $6,7 milhões, excedendo a estimativa inicial comunicada por investigadores de segurança. A empresa disse na altura que os ativos roubados estavam detidos em três endereços, contendo aproximadamente $3 milhões, $3 milhões e $700.000.

Na tentativa de recuperar os ativos, o TrustedVolumes ofereceu-se para discutir uma vulnerabilidade com recompensa e aquilo que chamou de uma solução mutuamente aceitável. O prestador de liquidez também convidou o atacante a iniciar uma comunicação construtiva, embora a sua declaração não especificasse uma taxa de recompensa proposta.

Antes de os tokens roubados serem consolidados, a Blockaid identificou 1.291,16 WETH, 206.282 USDT, 16,939 WBTC e 1,27 milhões USDC entre os ativos drenados. A PeckShield informou mais tarde que o atacante trocou os tokens e reuniu os proveitos em cerca de 2.513 ETH.

Os 1.122 ETH devolvidos valiam cerca de $2 milhões no momento da redação, enquanto a Com Feed avaliou a recompensa retida pelo atacante num valor semelhante. O valor combinado em dólares é inferior à perda original porque o ETH caiu desde o exploit de maio, quando os ativos roubados foram convertidos na criptomoeda.

O proxy custom do TrustedVolumes causou a violação de segurança

Como já tinha sido noticiado pela crypto.news, a Blockaid rastreou o ataque de 7 de maio até a um custom request-for-quote swap proxy operado pelo TrustedVolumes. Segundo a empresa de segurança, o atacante mirou a configuração do resolutor Ethereum da empresa, em vez de uma rota regular de swap 1inch.

O TrustedVolumes utilizou o sistema RFQ para cotar preços de tokens e concluir trades assinados a partir do seu inventário. A Verichains descobriu que uma função pública não tinha controlos de acesso, permitindo ao atacante registar um endereço como signatário de ordens aprovado e criar transações que pareciam válidas para o proxy.

Durante a mesma transação, o atacante direcionou o proxy para puxar WETH, WBTC, USDT e USDC do vault de inventário do TrustedVolumes. A Verichains também identificou uma discrepância entre o endereço verificado para autorização e o endereço que fornecia os tokens, enquanto uma proteção de replay defeituosa não conseguiu registar as ordens corretamente.

Embora o market maker afetado fornecesse liquidez através da 1inch, o ataque não comprometeu os contratos de agregação centrais da 1inch nem as rotas padrão do utilizador, de acordo com a descrição do incidente pela 1inch. A Blockaid associou a wallet ao exploit Fusion V1 de março de 2025, mas reportou que o ataque de maio usou uma falha diferente ligada ao proxy custom do TrustedVolumes.