Маркетмейкер TrustedVolumes, отвечающий за обеспечение ликвидности в агрегаторе 1inch, стал жертвой крупного взлома, в результате которого были похищены почти $6 млн. Злоумышленник воспользовался уязвимостью в смарт-контракте протокола, что позволило ему получить контроль над торговыми ордерами. Среди украденных активов — 1291 Wrapped Ethereum (WETH) на $3,02 млн, 16,94 WBTC на $1,37 млн, а также стейблкоины USDC и USDT на общую сумму около $1,47 млн.
Специалисты компании Blockaid, занимающейся кибербезопасностью, установили, что атака стала возможной из-за ошибки в механизме проверки цифровых подписей. Хакер использовал публичную функцию контракта, чтобы зарегистрировать свой адрес как доверенного подписанта, получив тем самым право создавать валидные ордера. Такой тезис подчеркивает критическую важность аудита смарт-контрактов, особенно в протоколах, работающих с крупными объемами средств.
После получения доступа злоумышленник начал выводить средства, используя легитимные на первый взгляд транзакции. Большая часть похищенных активов была оперативно конвертирована в эфир (ETH), что упростило их перемещение и отмывание. Затем средства были распределены по множеству крипто-кошельков, что значительно усложнило отслеживание их пути и выявило типичную тактику сокрытия следов в киберпреступлениях.
Команда TrustedVolumes подтвердила инцидент и заявила о начале расследования с привлечением внешних экспертов по безопасности. Представители Blockaid предположили, что за атакой может стоять тот же хакер, который ранее участвовал во взломе протокола 1inch Fusion V1 в марте 2025 года. Такое совпадение указывает на систематический характер атак и возможную целенаправленную кампанию против инфраструктуры DEX-агрегаторов.
Инцидент с TrustedVolumes стал очередным напоминанием о рисках, связанных с децентрализованными финансовыми протоколами. Несмотря на отсутствие централизованного контроля, уязвимости в коде могут привести к катастрофическим последствиям. Эксперты призывают проекты усиливать аудит и внедрять механизмы мониторинга подозрительных транзакций, чтобы минимизировать угрозу повторения подобных атак в будущем.
