Trusted Volumes攻撃者が1,122 ETHを返還、約200万ドルの報奨金は保持

Trusted Volumesへの攻撃者は、5月のエクスプロイトによる被害の一部返還として、約207万ドル相当の1,122.12 ETHを返還した。一方で、双方がオンチェーンメッセージで確認した交渉済みのバグ報奨金和解に基づき、同程度の金額を保持した。 送金は侵害から2カ月超を経て行われた。当初は約587万ドルの資産が流出し、その後プロトコルは資産価格の変動や関連損失を踏まえ、被害額を約670万ドルと見積もっていた。 今回の事案は、1inchの中核インフラやユーザー資金ではなく、1inch FusionのRFQ市場におけるTrustedVolumesのリゾルバー機能を直撃した。Blockaidによると、盗まれた資産には1,291 WETH、126万USDC、206,282 USDT、16.93 WBTCが含まれていた。セキュリティ研究者は、今回のエクスプロイトを独自のRFQプロキシコントラクトと、攻撃者が正規の注文署名者として自らを登録できるようにしたアクセス制御上の欠陥に結び付けた。Halbornは、この脆弱性が公開関数に起因し、未承認の注文によって既にプロキシに承認済みだった資金を移動できたと指摘した。 TrustedVolumesはハッキング直後から、バグ報奨金と双方が受け入れ可能な解決策に前向きな姿勢を示していた。今回の和解は、被害者が法執行機関や訴訟手続きのみに頼るのではなく、直接交渉によって資金回収を図るというDeFi（分散型金融）で広がる傾向を浮き彫りにした。一方で、この手法は攻撃者にとって、ハッキング後の和解を現実的な出口戦略とみなす懸念も残す。