L'attaquant de TrustedVolumes restitue 1 122 ETH, conserve une prime de 2 M$ dans le cadre d'un accord

Un règlement négocié a une fois de plus devancé un long processus de récupération d'actifs, alors que l'un des attaquants de TrustedVolumes, un résolveur de liquidités lié à 1inch Fusion, a restitué 1 122,12 ETH lors d'un transfert Ethereum, plus de deux mois après l'incident. Le hacker aurait conservé un montant similaire dans le cadre d'un accord de bug bounty négocié, selon Defimon Alerts.

Au moment de la conclusion de l'accord, le prix de l'Ether était estimé à environ 1 843 $, portant ainsi la valeur totale de la récupération à environ 2,07 millions de dollars, ce qui explique pourquoi cet événement est souvent qualifié de « récupération de 2 millions de dollars ».

L'importance de l'accord ne se mesure pas à son ampleur, mais au fait qu'il reflète une tendance croissante dans la finance décentralisée (DeFi). De plus en plus, les organisations privilégient la négociation avec leurs attaquants plutôt que de compter uniquement sur les forces de l'ordre ou de longs procès. Bien que cette approche puisse donner des résultats plus rapides, elle suscite la crainte que les extorqueurs ne commencent à considérer les négociations de bug bounty comme un moyen d'échapper aux poursuites plutôt que comme une exception.

Les deux parties ont publié un message on-chain confirmant le règlement.

« Nous avons finalisé les négociations avec l'exploiteur initial », indique le message.

Plus de 2 mois après l'exploitation de @trustedvolumes de 5,8 M$, l'un des attaquants a rendu 1 122 ETH (2 M$) :https://t.co/N2nZ3xSVPn https://t.co/auPXtWRLT1

— Defimon Alerts (@DefimonAlerts) juillet 17, 2026

De plus, l'exploiteur « a restitué les fonds et a reçu sa prime de bug bounty », ajoute le message, encourageant tout autre attaquant restant à écrire à [email protected]. TrustedVolumes avait évoqué cette approche dès après l'exploitation, indiquant que l'entreprise était disposée à engager une « communication constructive concernant une prime de bug bounty et une résolution mutuellement acceptable ».

Ce qui a été volé en mai

TrustedVolumes fonctionnait comme un résolveur dans l'environnement 1inch Fusion, permettant le fonctionnement d'un marché de demande de cotation (RFQ), qui fournissait de la liquidité pour les échanges de tokens lorsque cela était nécessaire. Le 7 mai, une attaque a eu lieu au cours de laquelle le résolveur a été exploité et environ 5,87 millions de dollars d'actifs numériques ont été retirés en une seule transaction Ethereum. Des données ultérieures du protocole ont suggéré que les dégâts, après prise en compte des valeurs des actifs et des pertes connexes, pourraient atteindre environ 6,7 millions de dollars.

Selon l'analyse de Blockaid, au total 5,87 millions de dollars ont été perdus, ce qui comprenait 1 291 WETH, 1,26 million de USDC, 206 282 USDT et 16,93 WBTC. Le contrat de résolveur compromis a été déterminé être 0x9bA0CF1588E1DFA905eC948F7FE5104dD40EDa31, tandis que l'attaque a été liée à un contrat proxy RFQ personnalisé lancé à 0xeEeEEe53033F7227d488ae83a27Bc9A9D5051756. Le portefeuille principal de l'attaquant 0xC3EBDdEa4f69df717a8f5c89e7cF20C1c0389100, cependant, a été classé comme une adresse d'exploitation de TrustedVolumes par Etherscan.

Les chercheurs en cybersécurité ont constaté que les méthodes utilisées dans cette attaque étaient très similaires à celles employées lors de la faille de mars 2025 impliquant le système 1inch Fusion V1.

Les enquêteurs ont déterminé que le piratage s'est produit en raison d'une vulnérabilité de contrôle d'accès plutôt que du vol de clés privées ou d'une autre exploitation inconnue. Halborn a découvert qu'en raison d'une fonction publique, toute personne pouvait s'inscrire en tant que signataire de commande autorisé. Les attaquants ont ensuite approuvé des commandes non autorisées transférant de l'argent qui avait déjà été approuvé pour le contrat proxy. Blockaid a pu identifier l'exploitation pendant qu'elle se produisait et a noté que ni l'infrastructure de 1inch ni les fonds des utilisateurs n'ont été affectés.

Pourquoi les incitations jouent dans les deux sens

Le règlement met en lumière les défis auxquels l'industrie DeFi est confrontée. Il est souvent préférable de négocier et de récupérer les fonds volés plutôt que de risquer de tout perdre au terme d'enquêtes longues et imprévisibles. Cependant, ces règlements peuvent créer une justification financière qui pousse les criminels à croire qu'ils peuvent voler de l'argent puis négocier une forte compensation par la suite.

Le calcul des vols devient de plus en plus complexe à mesure que les analyses forensiques sur la blockchain s'améliorent. TRM Labs a révélé que les arnaques aux cryptomonnaies ont dérobé 2,87 milliards de dollars aux particuliers en 2025 à travers environ 150 incidents, mais simultanément, les enquêteurs ont connu un certain succès dans le traçage des cryptos volées et le suivi des circuits de blanchiment. Par exemple, dans l'affaire TrustedVolumes, Blockaid, CertiK et SlowMist ont pu surveiller le vol dès sa survenance et suivre la manière dont le hacker a converti les biens volés en ETH, ce qui a contribué à rendre les criminels plus nerveux avant que l'accord ne soit conclu.

Seule une partie de l'affaire a été réglée par cet accord. Un attaquant a restitué 1 122,12 ETH, soit environ 2,07 millions de dollars au moment de la transaction, tout en conservant un montant similaire comme indiqué dans la proposition de bug bounty. La récupération du reste des fonds volés pourrait provenir d'un futur règlement ou du blanchiment d'argent volé, et constituera un excellent indicateur de la manière dont les auteurs des futurs piratages évalueront leurs chances d'être tracés par la sécurité blockchain par rapport à la possibilité de négocier leur sortie.