1inch penyedia likuiditas TrustedVolumes diserang: 6,7 juta dolar AS dicuri, penyerang lama muncul kembali

TrustedVolumes, penyedia likuiditas 1inch dan penyedia penyelesaian pesanan RFQ, diserang pada 7 Mei, dengan kerugian sekitar 6,7 juta dolar AS. The Defiant merangkum insiden tersebut: penyerang mendaftarkan dirinya melalui kontrak proxy order RFQ milik TrustedVolumes sebagai “penandatangan pesanan yang diotorisasi”, lalu menggunakan hak tersebut untuk mengosongkan token yang sebelumnya telah diberi izin dari dompet target. 1inch telah melakukan pemisahan—kontrak pintar inti, sistem back-end, dan dana yang dipegang pengguna tidak tersentuh; celah berada pada kontrak proxy buatan sendiri milik TrustedVolumes.

Jalur serangan: penyalahgunaan token approvals yang sudah ada sebagai penandatangan pesanan yang diotorisasi

Rincian teknis serangan ini:

Titik celah: satu fungsi publik pada kontrak proxy transaksi RFQ milik TrustedVolumes

Jalur serangan: penyerang memanggil fungsi tersebut untuk mendaftarkan diri sebagai “penandatangan pesanan yang diotorisasi” (authorised order signer)

Penarikan aktual: setelah memperoleh otorisasi, menggunakan token approvals yang sudah ada milik pengguna terhadap kontrak proxy tersebut, untuk memindahkan dana dari banyak dompet

Pengguna: tidak perlu menandatangani transaksi baru apa pun, cukup karena otorisasi yang sudah ada sehingga dana terkuras

Hal yang patut mendapat perhatian khusus dari jalur serangan ini adalah: bagi pengguna “tidak ada peringatan penandatangan transaksi mencurigakan baru”, karena serangan terjadi sepenuhnya di tingkat kontrak. Ini mengingatkan pengguna DeFi untuk secara berkala revoke token approvals yang tidak lagi digunakan, bahkan untuk protokol yang tepercaya.

Kerugian 6,7 juta dolar AS terdiri dari: empat jenis aset kripto yang dikosongkan sekaligus

Rincian aset yang dicuri:

1.291,16 WETH

206.282 USDT

16,939 WBTC

1.268.771 USDC

Pelaporan awal Blockaid menunjukkan kerugian sekitar 5,87 juta dolar AS, dan TrustedVolumes kemudian mengonfirmasi jumlahnya diperbarui menjadi 6,7 juta dolar AS—selisih berasal dari nilai token dan pelacakan lanjutan dana yang dicuri.

Pernyataan pemisahan 1inch: kontrak inti tidak terpengaruh

Respons resmi 1inch untuk insiden ini:

Kontrak pintar 1inch sendiri: tidak tersentuh

Sistem back-end 1inch: tidak tersentuh

Dana pengguna 1inch: tidak terpengaruh

Kali ini, celah berada pada kontrak proxy milik TrustedVolumes, bukan pada infrastruktur inti 1inch

Makna praktis pemisahan ini bagi pengguna DeFi: pengguna yang melakukan transaksi rutin menggunakan antarmuka utama 1inch tidak terdampak insiden ini; tetapi pengguna yang pernah memberi token approvals pada kontrak proxy TrustedVolumes, meskipun tidak menggunakan 1inch secara langsung, juga dapat berada dalam cakupan yang terpengaruh. Perusahaan analisis keamanan Blockaid menduga bahwa penyerang dalam serangan kali ini mungkin adalah pelaku yang sama dengan insiden serangan 1inch Fusion v1 pada Maret 2025.

Peristiwa spesifik yang dapat ditelusuri selanjutnya: TrustedVolumes merilis hadiah (cointelegraph telah membuka bounty), arus dana dompet penyerang, serta apakah 1inch akan mengeluarkan persyaratan audit baru terkait standar keamanan ekosistem penyelesaian RFQ untuk penyedia RFQ.

Artikel ini, penyedia likuiditas 1inch TrustedVolumes diserang: 6,7 juta dolar AS dicuri, penyerang lama kembali beraksi, pertama kali muncul di Berita Rantai ABMedia.