1Il market maker di Inch Trusted Volumes è stato hackerato per $4.5M

Trusted Volumes, uno dei market maker su 1Inch, è stato hackerato per 4,5 milioni di dollari. L'aggregatore DEX 1Inch ha immediatamente notato i flussi in uscita sospetti, che hanno interessato solo una parte limitata del protocollo e non hanno portato a blocchi del trading o congelamenti per la maggior parte dei trader. 

Il market maker per 1Inch, Trusted Volumes, è stato colpito da un hack che ha drenato 4,5 milioni di dollari. Diversi market maker più piccoli sono stati anch'essi colpiti, per un totale di 0,5 milioni di dollari. 

La perdita esatta era difficile da stimare, poiché parte dei fondi era sotto forma di WETH, il cui prezzo fluttua. SlowMist stima la perdita totale in circa 5 milioni di dollari, di cui 2,4 milioni in USDC. Un totale di 2M USDC è stato spostato in una singola transazione, diviso in due indirizzi.

Secondo la nostra analisi, questo incidente ha comportato una perdita di 2,4 milioni di $USDC e 1276 $WETH, per un totale di oltre 5 milioni di dollari.

— SlowMist (@SlowMist_Team) Mar 7, 2025

SlowMist ha individuato il 1Inch settlement contratto, che era il centro dell'exploit, drenando i fondi di diversi market maker. 

L'hacker ha drenato i fondi dei market maker attraverso il contratto intelligente del resolver

Analista on-chain Chaofan Shou ha individuato il problema con il contratto intelligente del resolver, che interagiva con i bot di trading dei market maker. Dopo che l'hacker ha commesso un errore, gli esploratori white hat hanno cercato di recuperare parte dei fondi, che l'hacker aveva inviato erroneamente indietro a 1Inch.

La vulnerabilità era presente solo nell'implementazione ora obsoleta Fusion V1 del contratto. Attualmente, 1Inch utilizza una versione rivista ma ha mantenuto il resolver legacy per alcuni partecipanti dell'ecosistema. Dopo l'evento, l'azienda ha attirato l'attenzione sul suo bug programma di bounty, che offre una bounty fino a $500K per vulnerabilità critiche.

1Inch ha notato che tutti i market maker stanno ora utilizzando un contratto di regolamento aggiornato senza la vulnerabilità. Gli investigatori on-chain hanno notato che l'attaccante ha sfruttato la capacità di connettersi ai bot e prelevare i loro fondi invece di utilizzarli per il regolamento su 1Inch. 

L'hacker poteva falsificare chiamate ai market maker e attaccare direttamente la loro liquidità. Le chiamate ai market maker stavano spoofando il contratto originale di 1Inch e causavano l'invio dei fondi dei bot di trading all'attaccante. 

Il market maker di 1inch @trustedvolumes è stato hackerato per oltre 4,5 milioni di dollari e alcuni market maker più piccoli sono stati hackerati per 0,5 milioni di dollari ieri.

La causa radice è che 1inch chiama la funzione resolveOrders del contratto MM per ottenere fondi per il suo contratto di regolamento. La maggior parte dei bot controllava solo il msg.sender = settlement… https://t.co/CMo6x5S7Vg pic.twitter.com/kSnkP5jpiH

— Chaofan Shou (@Fried_rice) Marzo 7, 2025

1Inch ha sollecitato tutti i market maker con contratti resolver ad aggiornare le loro versioni, sebbene non siano stati notati nuovi movimenti di fondi. L'exploit non richiede alcuna azione dagli utenti regolari e non ha influenzato i portafogli personali.

Il recente attacco contro un contratto intelligente comunemente utilizzato mostra che la sicurezza Web3 è ancora un problema, anche per protocolli leader come 1Inch. La piattaforma ha un 94.41% punteggio da Certik ed è stata considerata altamente sicura fino a poco tempo fa.  

Nonostante il monitoraggio di Certik, non tutto il codice di 1Inch è stato verificato e sottoposto ad audit. Un totale di tre contratti, o circa il 39% del codice del progetto, sono stati verificati. 1Inch stesso non è un bersaglio, poiché il protocollo trasporta solo $4.35M . 

L'aggregatore DEX si estende su sette catene diverse, con Ethereum che rimane la più attiva. Il protocollo ha rallentato la generazione di commissioni dopo un picco recente a novembre e dicembre 2024. Dopo quello, il protocollo ha prodotto 170 mila dollari di commissioni settimanali. Nonostante l'attività ridotta, 1Inch rimane un punto fermo per i trader Ethereum su piccola scala. Il protocollo ha mantenuto 549 mila utenti attivi mensili mensili.

1Il token Inch non è stato influenzato dopo l'hack

Il token 1Inch è rimasto per lo più invariato dalle notizie dell'hack, scambiato intorno a 0,23 dollari, vicino ai minimi di tre mesi. 1Inch segue il trend generale di rallentamento del mercato, con domanda limitata anche per i token legati ai protocolli più utilizzati. 

Dopo il mercato rialzista del 2021, 1Inch si è rivolta agli utenti di piccola scala. La maggior parte degli utenti esegue scambi inferiori a 1.000 $, mentre la dimensione mediana degli scambi è diminuita su tutte le catene. 

1Inch non è più il campo di gioco per balene o primi adottanti, ma mantiene una base più piccola di utenti per scambi a basso valore, talvolta inferiori a 10.