TrustedVolumes sofre hack e perde 33 milhões de reais em criptomoedas

O ataque à TrustedVolumes drenou cerca de US$ 6,7 milhões (R$ 33 milhões) em criptomoedas.
As moedas extraídas incluem 1.291 WETH, 206.282 USDT, 16,93 WBTC e 1,26 milhão USDC, com o fluxo passando por ChangeNow.
A empresa aponta o mesmo operador do ataque de março de 2025, ligado ao 1inch Fusion V1, explorando um proxy de swap RFQ.
A TrustedVolumes divulgou três endereços com os fundos roubados, totalizando cerca de US$ 3 milhões, US$ 3 milhões e US$ 700 mil; a 1inch disse não ter envolvimento direto.
A Cyvers atribui a raiz do problema a combinação de assinatura sem permissão, proteção contra repetição quebrada e origem de transferência não validada, que permitiram o extravio dos ativos.

A TrustedVolumes, fornecedora de liquidez para protocolos DeFi, sofreu um hack que resultou no desvio de cerca de US$ 6,7 milhões (R$ 33 milhões). O ataque ocorreu por meio de uma vulnerabilidade em um proxy de swap RFQ controlado pela empresa. O conjunto de ativos saqueados inclui quase 1,3 mil WETH, 206.282 USDT, 16,93 WBTC e 1,26 milhão de USDC. A exploração foi identificada por um mecanismo de detecção de exploits da Blockaid.

A TrustedVolumes confirmou o roubo, apontando três endereços de carteiras que concentram o restantes fundos, cerca de US$ 3 milhões, US$ 3 milhões e US$ 700 mil, respectivamente. A empresa informou estar aberta a uma comunicação para discutir recompensas por bugs e uma resolução mutuamente aceitável. A descoberta aponta para a atuação de um operador associado ao ataque anterior do tipo 1inch Fusion V1, ocorrido em março de 2025.

Contexto técnico do incidente

Segundo a análise da Cyvers, a vulnerabilidade envolveu registro de assinatura sem autorização, proteção contra repetição falha e um campo de origem de transferência não validado, o que permitiu que o invasor atuasse como signatário confiável. Os fundos teriam passado pela exchange ChangeNow, segundo a avaliação, antes de serem convertidos para ETH.

Reação dos envolvidos e impactos

A 1inch afastou qualquer envolvimento direto, afirmando que nem a plataforma nem seus protocolos estão comprometidos. A empresa destacou que trabalha com parceiros de segurança para entender a exploração e aprimorar seus processos.

Panorama do setor DeFi

Especialistas descrevem o invasor como um operador paciente, que já atacou outros contratos com intervalos de meses. A gravidade do incidente renova o alerta sobre riscos de vulnerabilidades em proxies de swap e na infraestrutura de liquidez descentralizada.