El atacante de TrustedVolumes devuelve 1,122 ETH, mantiene un rescate de $2M en un acuerdo

Un acuerdo negociado ha vuelto a superar un largo proceso de recuperación de activos, ya que uno de los atacantes de TrustedVolumes, un resolvedor de liquidez vinculado a 1inch Fusion, ha devuelto 1,122.12 ETH en una transferencia de Ethereum, más de dos meses después del incidente. Se alega que el hacker ha retenido una cantidad similar como parte de un acuerdo de recompensa por errores (bug bounty) negociado, según informó Defimon Alerts.

Cuando se hizo el acuerdo, el precio de Ether se estimó aproximadamente en $1,843, lo que hace que el valor total de la recuperación sea de aproximadamente $2.07 millones y aclara por qué este evento se suele llamar la "recuperación de $2 millones".

La importancia del acuerdo no se define por su tamaño, sino por el hecho de que refleja la tendencia creciente en las finanzas descentralizadas (DeFi). Cada vez más, las organizaciones están recurriendo a la negociación con sus atacantes en lugar de depender únicamente de las fuerzas del orden o de largos procesos judiciales. Si bien este enfoque puede proporcionar resultados más rápidos, genera el temor de que los extorsionistas comiencen a ver las negociaciones de recompensa por errores como una forma de evitar ser atrapados en lugar de una excepción.

Ambas partes publicaron un mensaje en la cadena confirmando el acuerdo.

"Hemos finalizado las negociaciones con el explotador original", dijo el mensaje

Más de 2 meses después de la explotación de $5.8M por parte de @trustedvolumes, uno de los atacantes devolvió 1,122 ETH ($2M):https://t.co/N2nZ3xSVPn https://t.co/auPXtWRLT1

— Defimon Alerts (@DefimonAlerts) jul. 17, 2026

Además, el explotador "devolvió los fondos y recibió su recompensa por errores", añadió el mensaje, animando a cualquier atacante restante a escribir a [email protected]. TrustedVolumes insinuó este enfoque justo después de la explotación, diciendo que la compañía estaba dispuesta a tener "comunicación constructiva respecto a una recompensa por errores y una resolución mutuamente aceptable".

Lo que se llevó en mayo

TrustedVolumes funcionaba como un resolvedor en el entorno 1inch Fusion, permitiendo la operación de un mercado de Solicitud de Cotización (RFQ), lo que proporcionaba liquidez para el intercambio de tokens cuando era necesario. El 7 de mayo, tuvo lugar un ataque en el que el resolvedor fue explotado y se retiraron aproximadamente $5.87 millones en activos digitales en una sola transacción de Ethereum. Datos posteriores del protocolo sugerían que el daño, después de tener en cuenta los valores de los activos y las pérdidas relacionadas, podría alcanzar unos $6.7 millones.

Según el análisis de Blockaid, en total se perdieron $5.87 millones, lo que incluía 1,291 WETH, 1.26 millones de USDC, 206,282 USDT y 16.93 WBTC. El contrato del resolvedor comprometido se determinó que era 0x9bA0CF1588E1DFA905eC948F7FE5104dD40EDa31, mientras que el ataque estaba conectado a un contrato proxy RFQ personalizado lanzado en 0xeEeEEe53033F7227d488ae83a27Bc9A9D5051756. La billetera principal del atacante 0xC3EBDdEa4f69df717a8f5c89e7cF20C1c0389100, sin embargo, fue clasificada como una dirección de explotación de TrustedVolumes por Etherscan.

Los investigadores de ciberseguridad descubrieron que los métodos utilizados en este ataque eran muy similares a los utilizados en el hackeo de marzo de 2025 que involucró al sistema 1inch Fusion V1.

Los investigadores determinaron que el hackeo ocurrió debido a una vulnerabilidad de control de acceso en lugar del robo de claves privadas o alguna explotación previamente desconocida. Halborn descubrió que, debido a una función pública, cualquier persona podía registrarse como firmante de órdenes autorizado. Los atacantes luego aprobaron órdenes no autorizadas que transferían dinero que ya había sido aprobado para el contrato proxy. Blockaid fue capaz de identificar la explotación mientras ocurría y señaló que ni la infraestructura de 1inch ni los fondos de los usuarios se vieron afectados.

Por qué los incentivos funcionan en ambos sentidos

El acuerdo muestra los desafíos que enfrenta la industria DeFi. A menudo es más deseable negociar y recuperar los fondos robados en lugar de enfrentar la posibilidad de perderlo todo al final de investigaciones largas e impredecibles. Sin embargo, estos acuerdos pueden crear una justificación financiera que lleva a los criminales a creer que pueden robar dinero y luego negociar un gran pago después.

Calcular el robo se vuelve cada vez más complejo a medida que las forenses en blockchain mejoran constantemente. TRM Labs encontró que las estafas con criptomonedas robaron $2.87 mil millones a las personas en 2025 a través de aproximadamente 150 incidentes, pero al mismo tiempo, los investigadores han tenido bastante éxito rastreando la criptomoneda robada y siguiendo las rutas de lavado. Por ejemplo, en el caso de TrustedVolumes, Blockaid, CertiK y SlowMist pudieron monitorear el robo tan pronto como ocurrió y rastrear cómo el hacker convirtió los bienes robados en ETH, lo que ayudó a hacer sentir más incómodos a los criminales antes de que se cerrara el acuerdo.

Solo una parte del caso se resolvió mediante el acuerdo. Un atacante devolvió 1,122.12 ETH o aproximadamente $2.07 millones en el momento de la transacción; sin embargo, retuvo una cantidad similar según lo establecido en la propuesta de recompensa por errores. La recuperación del resto de los fondos robados podría provenir de alcanzar un acuerdo en el futuro o de lavar el dinero robado, y será un excelente indicador de cómo los infractores de futuros hackeos sopesarán sus posibilidades de ser rastreados por la seguridad de blockchain frente a la posibilidad de negociar su salida.