Kẻ tấn công TrustedVolumes hoàn trả 2 triệu USD, giữ lại một $2M khác làm tiền thưởng

Kẻ tấn công của TrustedVolumes đã hoàn trả 1.122 ETH trị giá khoảng 2 triệu USD, đồng thời giữ lại thêm 2 triệu USD như “tiền thưởng” do chính mình tự công bố.

Tóm tắt

• Kẻ tấn công của TrustedVolumes đã hoàn trả 1.122 ETH trị giá khoảng 2 triệu USD.
• Kẻ khai thác đã giữ lại thêm 2 triệu USD như một “tiền thưởng” tự công bố.
• Blockaid đã lần theo cuộc tấn công hồi tháng 5 sang proxy swap RFQ tùy chỉnh của TrustedVolumes.

Theo theo dõi của Com Feed, giao dịch chuyển ETH này là một phần thu hồi từ vụ khai thác hồi tháng 5, khi ban đầu đã rút cạn khoảng 5,87 triệu USD từ một hợp đồng do nhà cung cấp thanh khoản kiểm soát. Kẻ tấn công đã giữ lại một khoản tiền tương đương gần như cùng giá trị USD với số tiền được hoàn trả, gắn nhãn khoản đó là “tiền thưởng”.

Tại thời điểm bài viết được đăng, TrustedVolumes vẫn chưa xác nhận chính thức rằng họ đã chấp nhận các điều khoản “tiền thưởng” do kẻ tấn công đề xuất.

Hoàn trả một phần chỉ thu hồi được một phần số tiền bị đánh cắp

TrustedVolumes đã tiết lộ vào tháng 5 rằng tổng thiệt hại đạt khoảng 6,7 triệu USD, vượt quá ước tính ban đầu mà các nhà nghiên cứu an ninh đưa ra. Công ty cho biết thời điểm đó, tài sản bị đánh cắp được phân tán trên ba địa chỉ chứa khoảng 3 triệu USD, 3 triệu USD và 700.000 USD.

Nhằm thu hồi tài sản, TrustedVolumes đề nghị thảo luận về “vulnerability bounty” và một giải pháp mà họ gọi là đạt được sự chấp nhận lẫn nhau. Nhà cung cấp thanh khoản cũng mời kẻ tấn công bắt đầu trao đổi mang tính xây dựng, dù tuyên bố của họ không nêu mức “bounty” dự kiến.

Trước khi các token bị đánh cắp được gộp lại, Blockaid đã xác định trong số tài sản bị rút cạn có 1.291,16 WETH, 206.282 USDT, 16,939 WBTC và 1,27 triệu USDC. Sau đó, PeckShield báo cáo rằng kẻ tấn công đã đổi các token và gom số tiền thu được thành khoảng 2.513 ETH.

1.122 ETH được hoàn trả trị giá khoảng 2 triệu USD tại thời điểm bài viết, trong khi Com Feed định giá “tiền thưởng” mà kẻ tấn công giữ lại ở mức tương tự. Tổng giá trị USD thấp hơn so với mức thiệt hại ban đầu vì ETH đã giảm giá kể từ vụ khai thác hồi tháng 5, thời điểm các tài sản bị đánh cắp đã được chuyển đổi sang tiền mã hóa.

Proxy tùy chỉnh của TrustedVolumes gây ra sự cố bảo mật

Như crypto.news đã đưa tin trước đó, Blockaid đã lần theo cuộc tấn công ngày 7 tháng 5 tới một proxy swap request-for-quote tùy chỉnh do TrustedVolumes vận hành. Theo công ty an ninh, kẻ tấn công nhắm vào cấu hình Ethereum resolver của công ty thay vì tuyến swap 1inch thông thường.

TrustedVolumes sử dụng hệ thống RFQ để báo giá token và hoàn tất các giao dịch đã ký từ lượng hàng tồn của mình. Verichains phát hiện một hàm công khai thiếu cơ chế kiểm soát truy cập, cho phép kẻ tấn công đăng ký một địa chỉ làm người ký lệnh đã được phê duyệt và tạo các giao dịch trông có vẻ hợp lệ đối với proxy.

Trong cùng giao dịch, kẻ tấn công đã chỉ đạo proxy rút WETH, WBTC, USDT và USDC từ kho tiền (vault) của TrustedVolumes. Verichains cũng phát hiện sự không khớp giữa địa chỉ được kiểm tra để ủy quyền và địa chỉ cung cấp các token, trong khi cơ chế chống phát lại (replay protection) lỗi không ghi nhận lệnh một cách chính xác.

Mặc dù nhà tạo lập thị trường (market maker) bị ảnh hưởng cung cấp thanh khoản thông qua 1inch, nhưng theo tài khoản của 1inch về sự cố, cuộc tấn công không xâm phạm các hợp đồng tổng hợp cốt lõi của 1inch hoặc các tuyến đường người dùng tiêu chuẩn. Blockaid liên kết ví này với vụ khai thác Fusion V1 hồi tháng 3 năm 2025, nhưng cho biết cuộc tấn công hồi tháng 5 lại sử dụng một lỗ hổng khác gắn với proxy tùy chỉnh của TrustedVolumes.