TrustedVolumes ใช้ช่องโหว่ระบายทุน มูลค่า $6.7M จากผู้ให้สภาพคล่องของ 1inch

TrustedVolumes ผู้ให้บริการสภาพคล่องและผู้ดูแลสภาพคล่อง (market maker) สำหรับแพลตฟอร์มรวมการแลกเปลี่ยนแบบกระจายอำนาจ 1inch กำลังเผชิญการโจมตีอย่างต่อเนื่อง ซึ่งทำให้เงินราว 6.7 ล้านดอลลาร์ถูกดึงออกไป ตามรายงานของบริษัทความปลอดภัยบล็อกเชน Blockaid และ TrustedVolumes เอง Blockaid ระบุในตอนแรกเมื่อวันพุธว่า ช่องโหว่ดังกล่าวส่งผลต่อสัญญา resolver ของ TrustedVolumes บนบล็อกเชน Ethereum โดยบริษัทได้อัปเดตตัวเลขความสูญเสียในวันพฤหัสบดี และระบุว่ากำลังพิจารณาให้รางวัลจูงใจบั๊ก (bug bounty) เพื่อจัดการกับเหตุการณ์ 1inch ยืนยันว่าระบบ โครงสร้างพื้นฐาน และเงินของผู้ใช้งานยังไม่ได้รับผลกระทบ

รายงานเริ่มต้นของ Blockaid

Blockaid รายงานว่า จำนวนเงินที่ถูกดึงออกในช่วงแรกอยู่ที่ประมาณ 5.87 ล้านดอลลาร์ ประกอบด้วย 1,291.16 WETH, 206,282 USDT, 16.939 WBTC และ 1,268,771 USDC ตามข้อมูลของ Blockaid ผู้โจมตีเป็นกลุ่ม/เอนทิตีเดียวกับที่เคยก่อการโจมตีในเดือนมีนาคม 2025 ต่อ 1inch Fusion V1 ซึ่งทำให้เงินราว 5 ล้านดอลลาร์รั่วไหล อย่างไรก็ตาม Blockaid ชี้ว่า การโจมตีที่เกิดขึ้นอย่างต่อเนื่องเกี่ยวข้องกับช่องโหว่อีกแบบหนึ่งที่เชื่อมโยงกับพร็อกซีการสลับ custom RFQ (request for quote) ที่อยู่ภายใต้การควบคุมของ TrustedVolumes

การตอบสนองของ TrustedVolumes

TrustedVolumes ยืนยันการถูกโจมตีในวันพฤหัสบดี โดยอัปเดตตัวเลขความสูญเสียเป็นประมาณ 6.7 ล้านดอลลาร์ บริษัทระบุว่าจะพิจารณา bug bounty เป็นแนวทางที่เป็นไปได้เพื่อแก้ไขสถานการณ์

คำชี้แจงของ 1inch

1inch ออกแถลงการณ์ชี้แจงว่าไม่มีผลกระทบต่อระบบ โครงสร้างพื้นฐาน หรือเงินของผู้ใช้งาน “TrustedVolumes ดำเนินงานอย่างอิสระในฐานะผู้ให้สภาพคล่อง ซึ่งถูกใช้โดยหลายโปรโตคอลทั่วทั้งอุตสาหกรรม และไม่ได้เป็นเอกสิทธิ์เฉพาะ 1inch” แถลงการณ์ระบุ “เรายังคงติดตามสถานการณ์อย่างต่อเนื่อง และกำลังช่วยเหลืออย่างแข็งขันตามความเหมาะสมร่วมกับหน่วยงานความปลอดภัยที่เกี่ยวข้อง”

บริบทด้านความปลอดภัยของ DeFi ในวงกว้าง

การโจมตีผู้เข้าร่วมใน DeFi เพิ่มขึ้นอย่างมีนัยสำคัญในช่วงไม่กี่สัปดาห์ที่ผ่านมา จากข้อมูลของ DefiLlama พบว่ามีมูลค่ารวม 635.2 ล้านดอลลาร์ถูกขโมยจากการแฮ็กและการเอ็กซ์พลอยต์ในเดือนเมษายน 2025 ซึ่งเป็นยอดรวมรายเดือนที่สูงที่สุดนับตั้งแต่เดือนกุมภาพันธ์ 2025 เมื่อแฮกเกอร์ขโมยเกือบ 1.5 พันล้านดอลลาร์จาก Bybit เหตุเอ็กซ์พลอยต์รายใหญ่ล่าสุดรวมถึงการโจมตีด้วยวิศวกรรมสังคมมูลค่า 285 ล้านดอลลาร์ต่อ Drift และการเอ็กซ์พลอยต์มูลค่า 293 ล้านดอลลาร์บน Kelp DAO การโจมตี TrustedVolumes ถือเป็นการเอ็กซ์พลอยต์ครั้งสำคัญครั้งที่ 5 นับตั้งแต่ต้นเดือนพฤษภาคม