Toinen monen miljoonan dollarin hyökkäys on kohdistunut DeFi-alaan. Tällä kertaa likviditeetin tarjoaja ja markkinatakaaja TrustedVolumes joutui älysopimushaavoittuvuuden kohteeksi torstai-iltana.
Aiheeseen liittyvä lukeminen: Solana tähtää uuteen nousuun kolmioiden läpimurron jälkeen – Onko 96 dollaria seuraava pysäkki?
TrustedVolumes kärsi 6,7 miljoonan dollarin hakkerointi
Torstaina DeFi-alusta TrustedVolumes – yksi 1inch:n likviditeetin tarjoajista ja markkinatakaajista – joutui uuden hyökkäyksen kohteeksi, joka tyhjensi miljoonia dollareita eri omaisuuseriä projektista. Lohkoketjun turvallisuusyritysten PeckShieldin ja Blockaidin mukaan hyökkääjä varasti noin 6 miljoonaa dollaria Wrapped Ethereumia (WETH), Wrapped Bitcoinia (WBTC), USDT:tä ja USDC:tä. He tekivät tämän hyödyntämällä protokollan ydinsignatuurin validointilogiikan virhettä, jonka ansiosta he pystyivät ohittamaan valtuutustarkistukset ja luomaan väärennettyjä kaupankäyntitoimeksiantoja.
Huomionarvoisesti hakkeri vaihtoi nopeasti kaikki varastetut omaisuuserät 2 513 ETH:ksi hajautetussa pörssissä (DEX) ja levitti ne kolmelle eri osoitteelle. X:ssä julkaistussa viestissä TrustedVolumes vahvisti tapauksen, jakoi osoitteet, joissa varastetut varat tällä hetkellä ovat, ja päivitti arvioidun tappion noin 6,7 miljoonaan dollariin.
Haavoittuvuus oli TrustedVolumesin hallinnoimassa mukautetussa RFQ (request for quote) -swap-välityspalvelimessa. Kryptotutkija Humphrey selitti, että "Custom RFQ Swap Proxy -sopimuksessa on toiminto, jonka tarkoituksena on hallita 'valtuutetun tilauksen allekirjoittajan' sallittujen listaa. Nämä sallittujen listajärjestelmät ovat yleisiä DeFi:ssä – vain listalla olevat osoitteet voivat antaa kelvollisia transaktio-ohjeita protokollan puolesta." Hän kuitenkin huomautti, että "tämä rekisteröintitoiminto on julkinen eikä siinä ole käyttöoikeusrajoituksia." Tämän seurauksena hyökkääjä käytti tätä julkista toimintoa lisätäkseen itsensä valtuutetuksi tilauksen allekirjoittajaksi. "Koska mikä tahansa ulkoinen osoite voi kutsua tätä toimintoa, se on kuin antaisi kaikille mahdollisuuden kopioida kassakaapin avaimen", tutkija lisäsi.
Sama hakkeri, eri hyökkäys
Verkkoraportit paljastivat, että hyökkääjä oli sama henkilö, joka oli vastuussa 1inch Fusion V1 Settlement -sopimuksen 5 miljoonan dollarin hyväksikäytöstä maaliskuussa 2025, jossa TrustedVolumes oli myös pääasiallinen uhri. Humphrey totesi, että vaikka sama henkilö suoritti molemmat hyökkäykset, ne olivat teknisellä tasolla hyvin erilaisia.
Viestin mukaan vuoden 2025 haavoittuvuus liittyi matalan tason EVM-muistin manipulointiin 1inch Fusion V1 Settlement -sopimuksessa. Tuolloin hakkeri "aloitti ennakoivasti ketjun sisäiset neuvottelut" tarjoten varastettujen varojen palauttamista vastineeksi white hat -palkkiosta. DeFi-alusta hyväksyi tarjouksen, ja suurin osa rahoista palautettiin turvallisesti. Nyt TrustedVolumes on ilmoittanut olevansa "avoin rakentavalle keskustelulle bugipalkkiosta ja molempia osapuolia tyydyttävästä ratkaisusta."
Hajautetun pörssin aggregaattori 1inch selvensi, että sen järjestelmät, infrastruktuuri ja käyttäjävarat eivät olleet vaarassa. Se selitti, että "TrustedVolumes toimii itsenäisesti likviditeetin tarjoajana, jota monet alan protokollat käyttävät, eikä se ole yksinomaan 1inchille."
DeFi-hyväksikäytöt kokevat historiallisen nousun
Tämä hyökkäys seuraa hyväksikäyttöjen aaltoa, joka on ravistellut DeFi-sektoria viimeisen kuukauden aikana. Viime viikolla PeckShield raportoi, että kryptoavaruudessa tapahtui huhtikuussa 40 suurta hakkerointia, jotka tyhjensivät noin 647 miljoonaa dollaria.
Aiheeseen liittyvä lukeminen: 150 miljoonan dollarin kryptoponzi romahtaa: 41,5 miljoonaa dollaria jäädytetty DSJ Exchange -romahduksessa
Tämä luku merkitsee 1 140 prosentin kuukausittaista kasvua maaliskuun 52,2 miljoonasta dollarista. Se edustaa myös 292 prosentin hyppyä 165 miljoonasta dollarista, jotka menetettiin DeFi-sektorilla vuoden 2026 ensimmäisellä neljänneksellä. Huomionarvoisesti kuukauden kaksi suurinta tapausta – Drift Protocolin 285 miljoonan dollarin hyväksikäyttö ja KelpDAOn 290 miljoonan dollarin hyväksikäyttö – muodostivat 91 prosenttia huhtikuussa menetetyistä varoista. Nämä kaksi hyökkäystä ovat nyt 10 suurimman hakeroinnin joukossa vuodesta 2021 lähtien.
Esittelykuva Unsplash.comista, Kaavio TradingView.comista
Usein kysytyt kysymykset
Tässä on luettelo usein kysytyistä kysymyksistä TrustedVolumes-hakkerointiin liittyen, kirjoitettu luonnollisella, selkeällä ja ytimekkäällä tyylillä
UKK TrustedVolumes 67 miljoonan dollarin hakkerointi
Aloittelijatason kysymykset
K Mitä TrustedVolumesille tapahtui
V TrustedVolumes-nimistä DeFi-alustaa hakeroitiin Hyökkääjä varasti noin 67 miljoonan dollarin arvosta kryptovaluuttaa sen älysopimuksista
K Onko rahani TrustedVolumesissa turvassa nyt
V Ei Alusta on vaarantunut Jos sinulla oli varoja vaikutetuissa sopimuksissa ne ovat todennäköisesti menetettyjä Sinun tulisi heti tarkistaa TrustedVolumesin viralliset ilmoitukset päivityksistä koskien palautussuunnitelmaa tai jäädytystä
K Mikä on älysopimushakkerointi
V Älysopimus on kuin itseään toteuttava digitaalinen sopimus lohkoketjussa Hakkerointi tarkoittaa että hyökkääjä löysi virheen siinä koodissa kuten piilotetun takaoven tai logiikkavirheen ja käytti sitä varojen tyhjentämiseen
K Saanko varastettuja rahojani takaisin
V Se on erittäin epätodennäköistä Useimmissa DeFi-hakeroinneissa varastetut varat siirretään nopeasti ja pestään sekoittimien tai muiden lohkoketjujen kautta mikä tekee takaisinperinnästä erittäin vaikeaa Takuuta ei ole
K Miten tämä tapahtui vuonna 2026 Eivätkö DeFi-alustat ole nyt turvallisempia
V Valitettavasti eivät Vaikka turvallisuus on parantunut hakkereista on tullut myös kehittyneempiä Uudet monimutkaiset protokollat kiirehdityt koodipäivitykset ja oraakkelimanipulaatiohyökkäykset ovat edelleen yleisiä Vuosi 2026 on nähnyt jyrkän nousun näissä hyväksikäytöissä
Edistyneen tason kysymykset
K Minkä tyyppistä hyväksikäyttöä TrustedVolumesiin käytettiin
V Vaikka täysi tarkastus on kesken varhaiset raportit viittaavat flash-lainahyökkäykseen yhdistettynä hintaoraakkelin manipulointiin Hyökkääjä lainasi valtavan määrän kryptoa ilman vakuuksia muutti keinotekoisesti tokenin hintaa TrustedVolumesissa ja myi sitten lainatut varat voitolla ennen lainan takaisinmaksua
K Oliko tämä bugi koodissa vai varastettiinko yksityinen avain
V Se näyttää olevan älysopimuksen logiikkabugi eikä varastettu hallinnointiavain Hyökkääjä hyödynsi virhettä siinä miten alusta laski vakuussuhteita tietyn kaupankäyntitoiminnon aikana Tämä tarkoittaa että itse koodi oli haavoittuvuus eikä vaarantunut salasana