Зловмисник TrustedVolumes повертає $2M, зберігає іншу $2M як нагороду

Зловмисник TrustedVolumes повернув 1 122 ETH на суму приблизно $2 млн, одночасно зберігши ще $2 млн як заявлену ним винагороду.

Підсумок

• Зловмисник TrustedVolumes повернув 1 122 ETH вартістю приблизно $2 млн.
• Експлойтер утримав ще $2 млн як заявлену ним винагороду.
• Blockaid відстежив атаку від травня до кастомного RFQ swap-проксі TrustedVolumes.

Згідно з моніторингом Com Feed, переказ у мережі Ethereum є частковим відновленням після експлойту від травня, який спочатку вивів приблизно $5,87 млн із контракту, контрольованого провайдером ліквідності. Атакувальник утримав приблизно ту саму суму в доларах, що й повернені кошти, назвавши це винагородою.

На момент підготовки матеріалу TrustedVolumes не підтвердив формально, що він прийняв умови винагороди, запропоновані атакувальником.

Часткове погашення відшкодовує лише частину вкрадених коштів

TrustedVolumes у травні розкрив, що загальні збитки сягнули приблизно $6,7 млн, що перевищує первинну оцінку, про яку повідомляли дослідники з безпеки. Тоді компанія заявила, що вкрадені активи зберігалися на трьох адресах із приблизно $3 млн, $3 млн і $700 000.

Прагнучи повернути активи, TrustedVolumes запропонував обговорити винагороду за вразливість і те, що він називав взаємоприйнятним рішенням. Провайдер ліквідності також запросив атакувальника розпочати конструктивну комунікацію, хоча його заява не вказувала запропоновану ставку винагороди.

Перш ніж вкрадені токени були консолідовані, Blockaid ідентифікував серед виведених активів 1 291,16 WETH, 206 282 USDT, 16,939 WBTC та 1,27 млн USDC. Пізніше PeckShield повідомив, що атакувальник обміняв токени та зібрав виручку приблизно в 2 513 ETH.

Повернені 1 122 ETH на момент підготовки матеріалу коштували приблизно $2 млн, тоді як Com Feed оцінив утриману атакувальником винагороду в суму, близьку до цього. Сукупна вартість у доларах нижча за початкові втрати, тому що ETH знизився після експлойту в травні, коли вкрадені активи було конвертовано в криптовалюту.

Кастомний проксі TrustedVolumes спричинив порушення безпеки

Як повідомлялося раніше на crypto.news, Blockaid відстежив атаку від 7 травня до кастомного swap-проксі request-for-quote, який працював TrustedVolumes. За даними компанії з безпеки, атакувальник націлився не на звичайний маршрут swap 1inch, а на налаштування Ethereum-resolver компанії.

TrustedVolumes використовував систему RFQ для котирування цін на токени та завершення підписаних угод зі свого інвентарю. Verichains з’ясували, що у публічній функції бракувало елементів керування доступом, що дозволяло атакувальнику зареєструвати адресу як схваленого signera замовлень і створювати транзакції, які виглядали дійсними для проксі.

У межах тієї самої транзакції атакувальник наказав проксі витягнути WETH, WBTC, USDT та USDC з vault інвентарю TrustedVolumes. Verichains також виявили невідповідність між адресою, яку перевіряли на авторизацію, та адресою, яка постачала токени, тоді як несправний захист від повторів не зміг коректно записувати замовлення.

Хоча постраждалий market maker забезпечував ліквідність через 1inch, атака не скомпрометувала базові контракти агрегатора 1inch або стандартні маршрути користувачів, згідно з описом інциденту від 1inch. Blockaid пов’язав гаманець із експлойтом Fusion V1 від березня 2025 року, але повідомив, що атака від травня використовувала іншу вразливість, пов’язану з кастомним проксі TrustedVolumes.