1inch ผู้ให้บริการสภาพคล่อง TrustedVolumes ถูกแฮ็ก: ถูกขโมย 6.7 ล้านดอลลาร์สหรัฐ และแฮกเกอร์หน้าเก่ากลับมาอีกครั้ง

1inch 流動性提供商 และ RFQ 訂單解算商 TrustedVolumes 5 月 7 日遭โจรกรรม สูญเสียราว 6.7 ล้านดอลลาร์สหรัฐ The Defiant สรุปเหตุการณ์: ผู้โจมตีใช้การลงทะเบียน “ผู้ลงนามคำสั่งที่ได้รับอนุญาต” ผ่านสัญญาตัวแทนการเทรด RFQ ของ TrustedVolumes เอง จากนั้นใช้สิทธิ์ดังกล่าวเพื่อกวาดโทเค็นที่ได้รับการอนุมัติอยู่แล้วออกจากกระเป๋าเป้าหมาย 1inch ได้แยกส่วนชัดเจน—สัญญาอัจฉริยะหลัก ระบบฝั่งหลัง และเงินที่ผู้ใช้ถืออยู่ไม่ได้ถูกแตะต้อง และช่องโหว่อยู่ที่สัญญาตัวแทนที่ TrustedVolumes เขียนขึ้นเอง

เส้นทางการโจมตี: ใช้สิทธิ์ในฐานะผู้ลงนามคำสั่งเพื่อใช้งาน token approvals ที่มีอยู่เดิม

รายละเอียดเชิงเทคนิคของการโจมตีครั้งนี้:

จุดที่เป็นช่องโหว่: ฟังก์ชันสาธารณะของสัญญาตัวแทนการเทรด RFQ ที่ TrustedVolumes เขียนขึ้นเอง

เส้นทางการโจมตี: ผู้โจมตีเรียกใช้ฟังก์ชันดังกล่าวเพื่อลงทะเบียนเป็น “ผู้ลงนามคำสั่งที่ได้รับอนุญาต”（authorised order signer）

การถอนเงินจริง: หลังได้รับอนุญาตแล้ว ใช้ token approvals ที่ผู้ใช้เคยให้กับสัญญาตัวแทนนี้อยู่ก่อน เพื่อย้ายเงินออกจากหลายกระเป๋า

ฝั่งผู้ใช้งาน: ไม่จำเป็นต้องลงนามธุรกรรมใหม่ใดๆ แค่ใช้การอนุญาตที่มีอยู่ก็ถูกกวาดเรียบ

สิ่งที่น่าจับตาเป็นพิเศษของเส้นทางการโจมตีนี้คือ: สำหรับผู้ใช้งาน “ไม่มีคำเตือนหรือป๊อปอัปการลงนามธุรกรรมที่น่าสงสัยใหม่” การโจมตีเกิดขึ้นในระดับสัญญาเท่านั้น สิ่งนี้ย้ำให้ผู้ใช้ DeFi หมั่น revoke token approvals ที่ไม่ใช้แล้ว แม้จะเป็นโปรโตคอลที่เชื่อถือได้ก็ตาม

การสูญเสีย 6.7 ล้านดอลลาร์สหรัฐ เกิดจากการล้างโทเค็น 4 สกุลในครั้งเดียว

รายละเอียดสินทรัพย์ที่ถูกขโมย:

1,291.16 เหรียญ WETH

206,282 เหรียญ USDT

16.939 เหรียญ WBTC

1,268,771 เหรียญ USDC

การแจ้งเบื้องต้นของ Blockaid ระบุว่ามีความเสียหายราว 5.87 ล้านดอลลาร์สหรัฐ TrustedVolumes ยืนยันยอดอัปเดตเป็น 6.7 ล้านดอลลาร์สหรัฐ—ความต่างมาจากมูลค่าโทเค็นและการติดตามเงินที่ถูกขโมยเพิ่มในภายหลัง

คำชี้แจงการแยกส่วนของ 1inch: สัญญาอัจฉริยะหลักไม่ได้รับผลกระทบ

คำตอบอย่างเป็นทางการของ 1inch ต่อเหตุการณ์นี้:

สัญญาอัจฉริยะของ 1inch เอง: ไม่ได้รับผลกระทบ

ระบบหลังบ้านของ 1inch: ไม่ได้รับผลกระทบ

เงินที่ผู้ใช้ของ 1inch ถืออยู่: ไม่ได้รับผลกระทบ

ช่องโหว่ครั้งนี้อยู่ที่สัญญาตัวแทนที่ TrustedVolumes เขียนเอง ไม่ใช่โครงสร้างพื้นฐานหลักของ 1inch

ความหมายเชิงปฏิบัติสำหรับผู้ใช้ DeFi จากการแยกส่วนครั้งนี้: ผู้ใช้ที่ทำธุรกรรมตามปกติบนอินเทอร์เฟซหลักของ 1inch จะไม่ถูกกระทบจากเหตุการณ์นี้ แต่ผู้ใช้ที่เคยให้ token approvals กับสัญญาตัวแทนของ TrustedVolumes แม้จะไม่ได้ใช้ 1inch โดยตรง ก็อาจอยู่ในขอบเขตที่ได้รับผลกระทบด้วย บริษัทวิเคราะห์ความปลอดภัย Blockaid คาดว่าผู้โจมตีครั้งนี้อาจเป็นกลุ่มเดียวกับเหตุโจมตี 1inch Fusion v1 ในเดือน 3 ปี 2025

เหตุการณ์เฉพาะที่ติดตามได้ต่อ: TrustedVolumes ปล่อยรางวัลนำจับ (cointelegraph รายงานว่าได้เปิด bounty แล้ว) ทิศทางการไหลของเงินในกระเป๋าของผู้โจมตี และว่า 1inch จะออกข้อกำหนดการตรวจสอบใหม่เพื่อความปลอดภัยต่อระบบนิเวศของ RFQ order solvers หรือไม่

บทความนี้ 1inch ผู้ให้สภาพคล่อง TrustedVolumes โดนแฮ็ก: โดนขโมย 6.7 ล้านดอลลาร์สหรัฐ ผู้โจมตีรายเดิมกลับมาอีกครั้ง ปรากฏครั้งแรกใน 鏈新聞 ABMedia。