Эксплуатация TrustedVolumes выводит $6,7 млн у поставщика ликвидности 1inch

TrustedVolumes, поставщик ликвидности и маркет-мейкер для агрегатора децентрализованной биржи 1inch, подвергается продолжающейся атаке, в ходе которой, по сообщениям блокчейн-сервисов безопасности Blockaid и самого TrustedVolumes, было выведено из оборота примерно $6,7 миллиона. Blockaid изначально в среду сообщил, что эксплойт затронул контракт резолвера TrustedVolumes в сети Ethereum; в четверг компания обновила оценку потерь и заявила о рассмотрении предложения по bug bounty для решения ситуации. 1inch подтвердил, что его системы, инфраструктура и средства пользователей не пострадали.

Initial Blockaid Report

Blockaid сообщила, что первоначально выведенная сумма составила примерно $5,87 миллиона и включала 1 291,16 WETH, 206 282 USDT, 16,939 WBTC и 1 268 771 USDC. По данным Blockaid, злоумышленник — это та же структура, которая стояла за эксплойтом 1inch Fusion V1 в марте 2025 года, тогда было похищено около $5 миллионов. При этом Blockaid отметила, что продолжающаяся атака связана с другой уязвимостью, относящейся к кастомному RFQ (запросу котировки) прокси, контролируемому TrustedVolumes.

TrustedVolumes Response

TrustedVolumes подтвердила эксплойт в четверг, обновив сумму потерь до примерно $6,7 миллиона. Компания указала, что рассмотрит bug bounty в качестве потенциального решения для устранения проблемы.

1inch Statement

1inch выпустила заявление с уточнением, что влияние отсутствует на ее системы, инфраструктуру и средства пользователей. «TrustedVolumes работает независимо как поставщик ликвидности, используется множеством протоколов по всей отрасли и не является эксклюзивной для 1inch», — говорится в сообщении. «Мы продолжаем мониторить ситуацию и в активном порядке оказываем содействие там, где это уместно, вместе с соответствующими сторонами по безопасности».

Broader DeFi Security Context

Атаки на участников DeFi в последние недели резко возросли. Согласно данным DefiLlama, в апреле 2025 года в ходе взломов и эксплойтов было похищено в общей сложности $635,2 миллиона — это самый крупный месячный показатель с февраля 2025 года, когда хакеры украли почти $1,5 миллиарда у Bybit. Среди недавних крупных инцидентов — $285 миллионов атак по социальной инженерии на Drift и эксплойт на $293 миллиона в Kelp DAO. Атака на TrustedVolumes стала пятым крупным эксплойтом с начала мая.