Por Canuto  

TrustedVolumes, proveedor de liquidez usado por varios protocolos DeFi, sufrió un exploit que permitió el robo de unos USD $6,7 millones. El incidente, detectado por Blockaid, habría sido ejecutado por el mismo operador vinculado al caso 1inch Fusion V1 de 2025, aunque 1inch aseguró que su infraestructura y los fondos de sus usuarios no se vieron afectados.

***

  • Blockaid estimó que el exploit drenó cerca de USD $6,7 millones desde el contrato resolver de TrustedVolumes en Ethereum.
  • Cyvers atribuyó el ataque a una combinación de registro de firmantes sin permisos, protección contra replay rota y un campo de origen no validado.
  • 1inch afirmó que ni su protocolo ni sus usuarios resultaron afectados, pese a que TrustedVolumes opera como uno de sus resolvers.

 

TrustedVolumes, un proveedor de liquidez utilizado por múltiples protocolos del ecosistema DeFi, sufrió un exploit que hasta ahora ha drenado alrededor de USD $6,7 millones en fondos. El incidente vuelve a poner presión sobre un sector que depende de contratos inteligentes complejos y de integraciones entre varios actores para sostener sus operaciones.

En términos simples, las finanzas descentralizadas (DeFi) agrupan aplicaciones financieras que corren sobre blockchain sin intermediarios tradicionales. Esa arquitectura ofrece apertura y composabilidad, pero también puede ampliar el impacto de una falla cuando un proveedor de liquidez o un componente crítico es comprometido.

De acuerdo con la cobertura publicada por Decrypt, el sistema de detección de exploits de la firma de análisis blockchain Blockaid identificó como contrato afectado al resolver de TrustedVolumes en Ethereum. Desde allí, el atacante extrajo aproximadamente WETH 1.291, USDT 206.282, WBTC 16,93 y USDC 1.260.000.

Blockaid señaló además que el explotador sería el mismo operador detrás del incidente de 1inch Fusion V1 ocurrido en marzo de 2025. En esta ocasión, sin embargo, el actor habría aprovechado una vulnerabilidad distinta, localizada en un proxy de swap RFQ personalizado controlado por TrustedVolumes.

Qué se sabe del exploit y del vector de ataque

Un RFQ, o request-for-quote, proxy de swap, es un contrato que gestiona cotizaciones de precios e intercambios de tokens entre un creador de mercado y traders. Estos componentes son claves en ciertos flujos de negociación porque conectan liquidez y ejecución, pero también concentran riesgo cuando su diseño o validaciones son insuficientes.

TrustedVolumes confirmó la brecha y publicó tres direcciones de wallet que, según indicó, contienen los fondos robados. La firma estimó que esas direcciones resguardan aproximadamente USD $3.000.000, USD $3.000.000 y USD $700.000, respectivamente.

La plataforma también dijo que estaba “abierta a una comunicación constructiva con respecto a una recompensa por errores y una resolución mutuamente aceptable”. Esa clase de mensaje suele aparecer cuando un protocolo busca recuperar parte de los fondos mediante negociación directa con el atacante.

Hakan Unal, líder sénior de operaciones de seguridad en la firma Cyvers, explicó a Decrypt que la causa raíz fue una combinación de “registro de firmantes sin permisos, protección contra replay rota y un campo de origen de transferencia no validado”. Según su evaluación, esa mezcla permitió al atacante actuar como un firmante de confianza y drenar a las víctimas sin una autorización válida.

Unal añadió que los fondos fueron canalizados a través del exchange de alto riesgo y sin KYC ChangeNow antes de ser convertidos a ETH. También advirtió que el daño pudo haber sido mayor, ya que una protección contra replay no funcional habría permitido vaciar repetidamente cuentas aprobadas adicionales.

En palabras del ejecutivo, “los daños podrían haber sido mucho mayores”. Esa observación sugiere que el exploit no solo afectó fondos concretos, sino que también expuso un diseño con capacidad de escalar el impacto si no hubiera sido detectado o interrumpido a tiempo.

1inch se distancia del incidente

Tras la difusión de reportes que vinculaban de forma directa a 1inch con la brecha, el agregador DeFi rechazó esa interpretación y marcó distancia frente al caso. La aclaración fue relevante porque parte de la cobertura inicial pudo dar a entender que el ataque había comprometido al propio protocolo de 1inch.

La empresa afirmó que ni 1inch ni ninguno de sus protocolos estuvieron involucrados. También aseguró que no hubo impacto sobre sus sistemas, su infraestructura ni los fondos de sus usuarios, en un intento por contener posibles dudas dentro de su comunidad.

Un portavoz de 1inch indicó a Decrypt que la compañía trabaja con sus socios de seguridad para entender los detalles de cómo ocurrió el exploit. Añadió que cualquier hallazgo relevante será incorporado a sus procesos continuos de seguridad e integración.

La firma sostuvo además que, si un proveedor está no disponible o comprometido, otros pueden seguir prestando servicio a los usuarios sin interrupciones. Según esa explicación, la redundancia integrada forma parte del diseño central del sistema y en este caso habría funcionado como estaba previsto.

Sergej Kunz, cofundador de 1inch, remarcó que TrustedVolumes es uno de varios resolvers utilizados por la plataforma. A su juicio, enfocar la historia como si se tratara de un ataque directo contra 1inch resulta confuso y perjudicial.

Un atacante reincidente y un entorno cada vez más hostil

Más allá del monto perdido, uno de los elementos que más llamó la atención fue la posible recurrencia del atacante. Nick Harris, fundador y CEO de la plataforma de recuperación de criptoactivos CryptoCare, dijo a Decrypt que el mismo operador habría golpeado dos veces, con meses de diferencia, contra contratos distintos.

Harris describió al responsable como un “operador paciente y dirigido”, no como un hacker oportunista. Desde su perspectiva, ese patrón obliga a revisar una idea extendida en el sector: sobrevivir a un exploit no siempre significa que el riesgo desapareció, y en algunos casos puede abrir la puerta a nuevas amenazas.

El episodio de TrustedVolumes llega además en medio de una racha especialmente dura para el sector DeFi. En semanas recientes, el mercado ya venía asimilando otros incidentes de gran escala que reforzaron la percepción de vulnerabilidad operativa en protocolos interconectados.

Entre esos casos figura el drenaje de USD $285 millones desde Drift Protocol, atribuido a hackers norcoreanos. También destaca la pérdida de USD $293 millones sufrida por Kelp DAO en un ataque que la propia plataforma vinculó a infraestructura comprometida de LayerZero.

Las consecuencias de ese último caso incluso llegaron a la justicia federal de Estados Unidos, donde Aave está luchando para desbloquear USD $71 millones en fondos de usuarios congelados en Arbitrum. Ese telón de fondo ayuda a entender por qué el exploit de TrustedVolumes genera preocupación más allá del monto inmediato robado.

En conjunto, el incidente subraya un punto sensible para todo el mercado: la seguridad en DeFi no depende solo del protocolo visible para el usuario final, sino también de proveedores, resolvers, puentes, oráculos y contratos auxiliares. Cuando uno de esos eslabones falla, el daño puede extenderse con rapidez a través de un ecosistema altamente conectado.

Hasta ahora, TrustedVolumes ha optado por identificar públicamente las direcciones que contienen los fondos y dejar abierta una vía de comunicación con el atacante. Queda por ver si esa estrategia permitirá recuperar parte del capital sustraído o si el caso terminará sumándose a la larga lista de exploits que han marcado la historia reciente de las finanzas descentralizadas.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados