Serangan lain bernilai jutaan dolar telah menyerang sektor DeFi selepas penyedia likuiditi dan pembuat pasaran TrustedVolumes menjadi mangsa eksploitasi kontrak pintar pada malam Khamis.
Isi volume tepercaya diserang oleh perampasan $6.7J
Pada hari Khamis, platform DeFi TrustedVolumes, salah satu penyedia likuiditi dan pembuat pasaran 1inch, mengalami eksploitasi baharu yang menguras jutaan dolar dalam pelbagai aset daripada projek tersebut.
Menurut laporan daripada firma keselamatan blok rantai PeckShield dan Blockaid, penyerang mencuri kira-kira $6 juta dalam Wrapped Ethereum (WETH), Wrapped Bitcoin (WBTC), USDT, dan USDT selepas memanfaatkan kelemahan dalam logik pengesahan tanda tangan teras protokol, yang membolehkan mereka melintasi semakan kuasa dan membuat pesanan dagangan palsu.
Secara ketara, perompak itu segera menukar semua aset menjadi 2.513 ETH di Sebuah Bursa Terdesentralisasi (DEX) dan mendistribusikannya ke tiga alamat. Dalam pos X, TrustedVolumes menyahkan insiden tersebut, berkongsi alamat-alamat yang kini memegang dana yang dicuri serta memperbaharui anggaran kerugian kepada kira-kira $6.7 juta.
Kerentanan itu adalah proxy pertukaran RFQ khusus yang dikendalikan TrustedVolumes. Penyelidik kripto Humphrey menjelaskan bahawa “kontrak Proxy Pertukaran RFQ Khusus mengandungi fungsi yang direka untuk mengurus senarai putih ‘penandatangan pesanan yang diizinkan’. Mekanisme senarai putih sedemikian biasa dalam DeFi—hanya alamat yang berada dalam senarai putih yang boleh mengeluarkan arahan transaksi yang sah atas nama protokol.”
Namun, beliau mencatat bahawa “fungsi pendaftaran ini adalah awam dan tidak mempunyai sebarang pemodifier kebenaran.” Akibatnya, penyerang memanfaatkan fungsi awam ini dalam kontrak, mendaftarkan diri mereka sebagai penandatangan pesanan yang diberi kebenaran.
“Kerana sebarang alamat luar boleh memanggil fungsi ini, ia setara dengan memberikan semua orang keupayaan untuk membuat salinan kunci keselamatan,” sambung penyelidik itu.
Hacker yang Sama, Serangan yang Berbeza
Laporan dalam talian menunjukkan bahawa penyerang adalah hacker yang bertanggungjawab terhadap eksploit kontrak Penyelesaian 1inch Fusion V1 bernilai $5 juta pada Mac 2025, di mana TrustedVolumes merupakan mangsa utama.
Humprey menekankan bahawa walaupun individu yang sama melaksanakan kedua-dua serangan, kedua-duanya berbeza secara teknikal yang ketara. Menurut pos tersebut, kerentanan tahun 2025 melibatkan manipulasi memori EVM peringkat rendah dalam kontrak Penyelesaian 1inch Fusion V1.
Pada masa itu, perompak “secara proaktif memulakan perundingan atas talian,” menawarkan untuk mengembalikan aset yang dicuri sebagai ganjaran white hat. Platform DeFi menerima cadangan itu, dan sebahagian besar dana berjaya dikembalikan dengan selamat.
Sekarang, TrustedVolumes menegaskan bahawa ia “terbuka kepada komunikasi binaan mengenai bounty ralat dan penyelesaian yang boleh diterima bersama.”
Agregat bursa terdesentralisasi 1inch menjelaskan bahawa tiada kesan terhadap sistem, infrastruktur, atau dana pengguna, dengan menerangkan bahawa “TrustedVolumes beroperasi secara berasingan sebagai penyedia likuiditi, yang digunakan oleh pelbagai protokol di seluruh industri, dan tidak eksklusif kepada 1inch.”
Pengeksploitasian DeFi Mengalami Peningkatan BersejarahSerangan ini mengikuti gelombang eksploitasi yang mengguncang sektor DeFi dalam sebulan terakhir. Seminggu yang lalu, PeckShield mengumumkan bahawa ruang kripto mengalami 40 serangan besar pada April, yang merampas kira-kira $647 juta.
Angka ini mewakili peningkatan 1.140% bulan-ke-bulan (MoM) daripada $52,2 juta pada bulan Mac. Ia juga mewakili lonjakan 292% daripada $165 juta yang hilang oleh sektor DeFi pada suku pertama 2026.
Secara ketara, dua insiden teratas bulan ini, eksploitasi Drift Protocol sebanyak $285 juta dan KelpDAO sebanyak $290 juta, menyumbang 91% dana yang hilang bulan lepas. Selain itu, kedua-duanya kini berada di antara 10 hack teratas sejak 2021.
