Otro ataque de varios millones de dólares ha afectado al sector DeFi después de que el proveedor de liquidez y maker TrustedVolumes fuera víctima de una explotación de contrato inteligente el jueves por la noche.
Volumenes confiables afectados por un hack de $6.7M
El jueves, la plataforma DeFi TrustedVolumes, uno de los proveedores de liquidez y market makers de 1inch, sufrió un nuevo exploit que drenó millones de dólares en múltiples activos del proyecto.
Según informes de las firmas de seguridad blockchain PeckShield y Blockaid, el atacante robó aproximadamente $6 millones en Wrapped Ethereum (WETH), Wrapped Bitcoin (WBTC), USDT y USDT tras explotar una vulnerabilidad en la lógica de validación de firmas del protocolo, lo que les permitió omitir los controles de autorización y falsificar órdenes de operación.
Notablemente, el hacker intercambió rápidamente todos los activos por 2.513 ETH en un Exchange Descentralizado (DEX) y los distribuyó entre tres direcciones. En una publicación en X, TrustedVolumes confirmó el incidente, compartiendo las direcciones que actualmente sostienen los fondos robados y actualizando la pérdida estimada a aproximadamente $6.7 millones.
La vulnerabilidad era un proxy de intercambio RFQ personalizado controlado por TrustedVolumes. El investigador de criptomonedas Humphrey explicó que “el contrato del Proxy de Intercambio RFQ Personalizado contiene una función diseñada para gestionar la lista blanca de ‘firma autorizada de órdenes’. Tales mecanismos de lista blanca son comunes en DeFi: solo las direcciones en la lista blanca pueden emitir instrucciones de transacción válidas en nombre del protocolo.”
Sin embargo, él señaló que “esta función de registro es pública y carece de modificadores de permisos”. Como resultado, el atacante explotó esta función pública dentro del contrato, registrándose como firmante autorizado de órdenes.
“Dado que cualquier dirección externa puede llamar a esta función, es equivalente a darle a todos la capacidad de hacer una copia de la llave de la caja fuerte”, continuó el investigador.
Mismo hacker, diferente ataque
Los informes en línea revelaron que el atacante era el mismo hacker responsable del exploit del contrato de liquidación de 1inch Fusion V1 por $5 millones en marzo de 2025, del cual TrustedVolumes fue la víctima principal.
Humprey destacó que, aunque la misma persona llevó a cabo ambos ataques, fueron significativamente diferentes a nivel técnico. Según la publicación, la vulnerabilidad de 2025 involucró manipulación de memoria EVM de bajo nivel en el contrato de liquidación 1inch Fusion V1.
En ese momento, el hacker “inició proactivamente negociaciones en la cadena”, ofreciendo devolver los activos robados a cambio de una recompensa de white hat. La plataforma DeFi aceptó la propuesta, y la mayor parte de los fondos se devolvió con seguridad.
Ahora, TrustedVolumes afirmó que está “abierto a una comunicación constructiva respecto a un programa de recompensas por errores y una resolución mutuamente aceptable.”
El agregador de intercambios descentralizados 1inch aclara que no hubo impacto en sus sistemas, infraestructura o fondos de los usuarios, explicando que “TrustedVolumes operan de forma independiente como proveedor de liquidez, utilizado por múltiples protocolos en toda la industria, y no son exclusivos de 1inch.”
Los exploits de DeFi experimentan un aumento históricoEste ataque sigue una ola de explotaciones que ha sacudido el sector DeFi durante el último mes. La semana pasada, PeckShield reveló que el espacio cripto sufrió 40 hackeos importantes en abril, que agotaron aproximadamente $647 millones.
Esta cifra representa un aumento del 1.140 % mes a mes (MoM) respecto a los $52,2 millones de marzo. También representa un aumento del 292 % respecto a los $165 millones que perdió el sector DeFi durante el primer trimestre de 2026.
Notablemente, los dos incidentes más importantes del mes, Drift Protocol con $285 millones y KelpDAO con $290 millones, representaron el 91% de los fondos perdidos el mes pasado. Además, ahora se encuentran entre los 10 hackeos más grandes desde 2021.
