- A SlowMist notou tráfego incomum proveniente de alguns market makers na 1Inch.
- A exploração fez chamadas falsas para bots de negociação, que acabaram enviando seus liquidamentos para o endereço do explorador, e não para o contrato de liquidação da 1Inch.
- A 1Inch continuou suas operações, apesar da desaceleração geral nos últimos meses.
A Trusted Volumes, uma das market makers da 1Inch, foi hackeada por US$ 4,5 milhões. O agregador DEX 1Inch notou imediatamente os fluxos suspeitos, que afetaram apenas uma parte limitada do protocolo e não levaram ao bloqueio de negociações ou congelamentos para a maioria dos traders.
A market maker da 1Inch, Trusted Volumes, foi afetada por um hack que drenou US$ 4,5 milhões. Várias market makers menores também foram afetadas, totalizando US$ 0,5 milhão.
A perda exata foi difícil de estimar, pois parte dos fundos estava na forma de WETH, onde o preço flutua. A SlowMist estima a perda total em cerca de US$ 5 milhões, dos quais US$ 2,4 milhões em USDC. Um total de 2M USDC foi movido em uma única transação, dividido em dois endereços.
De acordo com nossa análise, este incidente resultou em uma perda de 2,4 milhões $USDC e 1276 $WETH, totalizando mais de US$ 5 milhões.
— SlowMist (@SlowMist_Team) 18 de março7, 2025
A SlowMist pinpointou o 1Inch settlement contrato, que foi o centro da exploração, drenando os fundos de várias market makers.
O hacker drenou os fundos da market maker através do contrato inteligente do resolver
Analista on-chain Chaofan Shou identificou o problema com o contrato inteligente do resolver, que interagia com os bots de negociação das market makers. Após o hacker cometer um erro, os exploradores de boné branco tentaram recuperar parte dos fundos, que o hacker enviou acidentalmente de volta para a 1Inch.
A vulnerabilidade estava presente apenas na agora obsoleta implementação Fusion V1 do contrato. Atualmente, a 1Inch usa uma versão revisada mas manteve o resolver legado para alguns participantes do ecossistema. Após o evento, a empresa chamou a atenção para seu bug bounty program, que oferece uma recompensa de até $500K para vulnerabilidades críticas.
A 1Inch observou que todas as market makers agora estão usando um contrato de liquidação atualizado sem a vulnerabilidade. Investigadores on-chain observaram que o explorador explorou a capacidade de se conectar aos bots e retirar seus fundos em vez de usá-los para liquidação na 1Inch.
O hacker poderia forjar chamadas para as market makers e atacar diretamente sua liquidez. As chamadas às market makers estavam falsificando o contrato original da 1Inch e faziam com que os bots de negociação enviassem seus fundos para o atacante.
O market maker da 1inch @trustedvolumes foi hackeado por mais de US$ 4,5 milhões e alguns MMs menores foram hackeados por US$ 0,5 milhão ontem.
A causa raiz é que a 1inch chama a função resolveOrders do contrato do MM para obter fundos para seu contrato de liquidação. A maioria dos bots verificava apenas o msg.sender = settlement… https://t.co/CMo6x5S7Vg pic.twitter.com/kSnkP5jpiH
— Chaofan Shou (@Fried_rice) March 7, 2025
A 1Inch alertou todas as market makers com contratos resolver a atualizar suas versões, embora nenhum novo movimento de fundos tenha sido notado. A exploração não requer nenhuma ação dos usuários regulares e não afetou carteiras pessoais.
O recente ataque contra um contrato inteligente comumente usado mostra que a segurança da Web3 ainda é um problema, mesmo para protocolos líderes como a 1Inch. A plataforma tem uma 94.41% pontuação pela Certik e era considerada altamente segura até recentemente.
Apesar do monitoramento da Certik, nem todo o código da 1Inch foi verificado e auditado. Um total de três contratos, ou cerca de 39% do código do projeto, foram verificados. A própria 1Inch não é o alvo, pois o protocolo apenas carrega US$ 4.35M em valor travado.
O agregador DEX abrange sete cadeias diferentes, com a Ethereum permanecendo a mais ativa. O protocolo desacelerou sua geração de taxas após um pico recente em novembro e dezembro de 2024. Depois disso, o protocolo passou a gerar US$ 170 mil em taxas semanais. Apesar da atividade reduzida, a 1Inch permanece um ponto de referência para traders de pequena escala na Ethereum. O protocolo manteve 549 mil ativos mensais mensais.
1Inch token unaffected after the hack
O token 1Inch permaneceu majoritariamente indiferente às notícias do hack, negociando em torno de US$ 0,23, próximo de seus mínimos de três meses. A 1Inch acompanha a tendência geral de desaceleração do mercado, com demanda limitada mesmo para tokens vinculados aos protocolos mais amplamente utilizados.
Desde o mercado de alta de 2021, a 1Inch mudou-se para usuários de pequena escala. A maioria dos usuários publica negociações abaixo de US$ 1.000, enquanto o tamanho mediano da negociação caiu para todas as cadeias.
A 1Inch já não é o campo de jogo de baleias ou primeiros adotantes, mas mantém uma base menor de usuários para low-value swaps, às vezes abaixo de $10.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hristina Vasileva
Hristina Vasileva especializa-se em notícias sobre DeFi, negócios e economia. Formou-se na Universidade de Sofia com mestrado em Filosofia, após concluir graduação de 4 anos em Administração de Empresas, Jornalismo e Comunicação de Massa. Trabalhou em um dos principais jornais do país, cobrindo commodities e resultados corporativos. Atualmente, Hristina é autora contribuinte de notícias na Cryptopolitan.
