El exploit de TrustedVolumes drena 6,7 millones de USD de un proveedor de liquidez de 1inch

TrustedVolumes, un proveedor de liquidez y market maker para el agregador de intercambio descentralizado 1inch, está sufriendo un ataque en curso que ha drenado aproximadamente 6,7 millones de dólares en fondos, según informes de la firma de seguridad blockchain Blockaid y del propio TrustedVolumes. Blockaid señaló inicialmente el exploit el miércoles como un incidente que afecta al contrato resolver de TrustedVolumes en la blockchain de Ethereum; la empresa proporcionó el jueves una cifra actualizada de pérdidas e indicó que está considerando un bug bounty para abordar la situación. 1inch confirmó que sus sistemas, infraestructura y fondos de los usuarios no se ven afectados.

Informe Inicial de Blockaid

Blockaid informó que la cantidad drenada inicial fue de aproximadamente 5,87 millones de dólares, compuesta por 1.291,16 WETH, 206.282 USDT, 16,939 WBTC y 1.268.771 USDC. Según Blockaid, el atacante es la misma entidad responsable del exploit de marzo de 2025 de 1inch Fusion V1, que drenó alrededor de 5 millones de dólares. Sin embargo, Blockaid indicó que el ataque en curso involucra una vulnerabilidad distinta relacionada con un RFQ personalizado controlado por TrustedVolumes (request for quote) para el proxy de intercambio.

Respuesta de TrustedVolumes

TrustedVolumes confirmó el exploit el jueves, actualizando el monto de pérdidas a aproximadamente 6,7 millones de dólares. La empresa indicó que considerará un bug bounty como posible solución para abordar la situación.

Declaración de 1inch

1inch publicó una declaración aclarando que no hay impacto en sus sistemas, infraestructura ni fondos de los usuarios. “TrustedVolumes opera de forma independiente como proveedor de liquidez, se utiliza por múltiples protocolos en toda la industria y no es exclusivo de 1inch”, dijo el comunicado. “Seguimos monitoreando la situación y estamos brindando asistencia de manera activa cuando corresponde junto con las partes de seguridad pertinentes”.

Contexto Más Amplio de Seguridad DeFi

Los ataques a participantes de DeFi se han disparado significativamente en las últimas semanas. Según datos de DefiLlama, en abril de 2025 se robaron 635,2 millones de dólares en hacks y exploits, lo que marca el mayor total mensual desde febrero de 2025, cuando los hackers robaron casi 1.500 millones de dólares a Bybit. Entre los exploits mayores recientes se incluyen un ataque de ingeniería social de 285 millones de dólares contra Drift y un exploit de 293 millones de dólares en Kelp DAO. El ataque a TrustedVolumes marca el quinto gran exploit desde el inicio de mayo.