TrustedVolumes-Angriffser gibt 1.122 ETH zurück, behält 2 Mio. US-Dollar im Bug-Bounty-Deal

Ein ausgehandelter Vergleich hat erneut einen langen Vermögensrückgewinnungsprozess übertroffen, als einer der Angreifer von TrustedVolumes, ein mit 1inch Fusion verbundener Liquiditäts-Resolver, mehr als zwei Monate nach dem Vorfall 1.122,12 ETH in einer Ethereum-Überweisung zurückgegeben hat. Der Hacker hat angeblich einen ähnlichen Betrag im Rahmen eines ausgehandelten Bug-Bounty-Vereinbarung behalten, wie Defimon Alerts berichtete.

Zum Zeitpunkt des Deals wurde der Ether-Preis auf rund 1.843 US-Dollar geschätzt, was den Gesamtwert der Rückgewinnung auf etwa 2,07 Millionen US-Dollar erhöhte und erklärt, warum dieses Ereignis normalerweise als „2-Millionen-Dollar-Rückgewinnung“ bezeichnet wird.

Die Bedeutung des Deals wird nicht durch seine Größe definiert, sondern durch die Tatsache, dass er den zunehmenden Trend in der dezentralen Finanzen (DeFi) widerspiegelt. Immer mehr Organisationen wenden sich der Verhandlung mit ihren Angreifern zu, anstatt sich nur auf Strafverfolgungsbehörden oder lange Gerichtsverfahren zu verlassen. Während dieser Ansatz schnellere Ergebnisse liefern kann, besteht die Befürchtung, dass Erpresser Bug-Bounty-Verhandlungen zunehmend als Mittel zur Vermeidung von Entdeckung ansehen, anstatt als Ausnahme.

Beide Parteien veröffentlichten eine Nachricht on-chain, die die Abwicklung bestätigte.

„Wir haben die Verhandlungen mit dem ursprünglichen Ausnutzer abgeschlossen“, hieß es in der Nachricht

Mehr als 2 Monate nach dem $5,8 Mio. @trustedvolumes-Exploit hat einer der Angreifer 1.122 ETH ($2 Mio.) zurückgegeben:https://t.co/N2nZ3xSVPn https://t.co/auPXtWRLT1

— Defimon Alerts (@DefimonAlerts) Juli 17, 2026

Darüber hinaus habe der Ausnutzer „die Gelder zurückgegeben und seine Bug-Bounty erhalten“, fügte die Nachricht hinzu und ermutigte alle verbleibenden Angreifer, [email protected] zu schreiben. TrustedVolumes deutete diesen Ansatz direkt nach dem Exploit an und sagte, das Unternehmen sei bereit für „konstruktive Kommunikation bezüglich einer Bug-Bounty und einer gegenseitig akzeptablen Lösung.“

Was im Mai gestohlen wurde

TrustedVolumes fungierte als Resolver in der 1inch-Fusionsumgebung, was die Durchführung eines Request-For-Quote (RFQ)-Marktes ermöglichte, der bei Bedarf Liquidität für Token-Austausche bereitstellte. Am 7. Mai fand ein Angriff statt, bei dem der Resolver ausgenutzt wurde und in einer einzigen Ethereum-Transaktion digitale Vermögenswerte im Wert von etwa 5,87 Millionen US-Dollar abgezogen wurden. Spätere Daten des Protokolls deuteten darauf hin, dass der Schaden nach Abzug der Vermögenswerte und damit verbundener Verluste etwa 6,7 Millionen US-Dollar betragen könnte.

Laut der Analyse von Blockaid gingen insgesamt 5,87 Millionen US-Dollar verloren, darunter 1.291 WETH, 1,26 Millionen USDC, 206.282 USDT und 16,93 WBTC. Der kompromittierte Resolver-Vertrag wurde als 0x9bA0CF1588E1DFA905eC948F7FE5104dD40EDa31 identifiziert, während der Angriff mit einem maßgeschneiderten RFQ-Proxy-Vertrag in Verbindung gebracht wurde, der bei 0xeEeEEe53033F7227d488ae83a27Bc9A9D5051756 gestartet wurde. Die Hauptangreifer-Wallet 0xC3EBDdEa4f69df717a8f5c89e7cF20C1c0389100 wurde von Etherscan jedoch als TrustedVolumes-Exploit-Adresse klassifiziert.

Cybersicherheitsforscher haben festgestellt, dass die bei diesem Angriff verwendeten Methoden denen sehr ähnlich waren, die bei dem Hack im März 2025 im Zusammenhang mit dem 1inch Fusion V1-System eingesetzt wurden.

Ermittler stellten fest, dass der Hack aufgrund einer Zugriffskontroll-Schwachstelle und nicht durch Diebstahl privater Schlüssel oder eines zuvor unbekannten Exploits geschah. Halborn entdeckte, dass aufgrund einer öffentlichen Funktion jede Person sich als autorisierter Auftragsunterzeichner registrieren konnte. Die Angreifer genehmigten daraufhin unbefugte Aufträge, die Gelder übertrugen, die bereits für den Proxy-Vertrag genehmigt waren. Blockaid konnte den Exploit während des Geschehens identifizieren und stellte fest, dass weder die Infrastruktur von 1inch noch die Kundengelder betroffen waren.

Warum die Anreize in beide Richtungen wirken

Der Vergleich zeigt die Herausforderungen, mit denen die DeFi-Branche konfrontiert ist. Es ist oft wünschenswerter, zu verhandeln und gestohlene Mittel zurückzugewinnen, als das Risiko einzugehen, am Ende langer und unvorhersehbarer Ermittlungen alles zu verlieren. Solche Vergleiche können jedoch eine finanzielle Logik schaffen, die Kriminelle dazu veranlasst zu glauben, sie könnten Geld stehlen und anschließend eine hohe Ablösesumme aushandeln.

Die Berechnung des Diebstahls wird zunehmend komplexer, während die Forensik in der Blockchain immer besser wird. TRM Labs fand heraus, dass Kryptowährungsbetrüger im Jahr 2025 durch etwa 150 Vorfälle 2,87 Milliarden US-Dollar von Menschen stahlen, gleichzeitig waren Ermittler jedoch recht erfolgreich darin, die gestohlene Kryptowährung zurückzuverfolgen und die Geldwäsche-Routen zu verfolgen. Im Fall von TrustedVolumes konnten Blockaid, CertiK und SlowMist den Diebstahl sofort überwachen und verfolgen, wie der Hacker die gestohlenen Güter in ETH umwandelte, was dazu beitrug, die Kriminellen vor Abschluss des Deals nervös zu machen.

Nur ein Teil des Falls wurde durch den Vergleich beigelegt. Ein Angreifer gab 1.122,12 ETH zurück, was zum Zeitpunkt der Transaktion etwa 2,07 Millionen US-Dollar entsprach; einen ähnlichen Betrag behielt er jedoch, wie in der vorgeschlagenen Bug-Bounty angegeben. Die Rückgewinnung des restlichen gestohlenen Vermögens könnte aus einer zukünftigen Einigung oder der Geldwäsche der gestohlenen Mittel resultieren und wird ein hervorragender Indikator dafür sein, wie Täter künftiger Hacks ihre Chancen auf eine Rückverfolgung durch Blockchain-Sicherheit gegen die Möglichkeit abwägen, sich durch Verhandlungen herauszureden.