Een hacker die eerder deze maand ongeveer $5,9 miljoen weghaalde uit het Trusted Volumes-protocol, heeft 1.122 ETH teruggestuurd — maar hield ongeveer $2 miljoen achter als de facto beloning. De gedeeltelijke terugkeer, bevestigd via on-chain gegevens van Etherscan, volgt op de exploit van 7 mei, waarbij een omzeiling van de handtekeningcontrole in de RFQ-swapproxy van het protocol werd gebruikt.
Hoe de exploit werkte
De aanvaller vond een kwetsbaarheid in het smartcontract dat request-for-quote-swaps afhandelt. Door de stap van handtekeningverificatie te omzeilen, konden ze in één transactie geld uit het protocol halen. On-chain records tonen aan dat de gestolen activa snel werden verplaatst, maar de wallet van de hacker werd vanaf het begin openbaar gevolgd — een veelvoorkomende dynamiek in DeFi-incidenten waar juridische stappen beperkt zijn.
De gedeeltelijke terugvordering en beloning
Trusted Volumes kreeg 1.122 ETH terug, maar dat is slechts een deel van wat er werd weggenomen. De aanvaller hield ongeveer $2 miljoen aan crypto achter, wat effectief fungeerde als een beloning voor het vinden van de bug. Dit soort schikking — onderhandelen, een deel teruggeven, een deel houden — is een patroon geworden in decentrale financiën. Zonder een centrale autoriteit om tegoeden te bevriezen, moeten protocollen vaak onderhandelen met degenen die erin zijn binnengedrongen.
Wat staat Trusted Volumes te wachten
Het protocol is niet hersteld en gebruikers wachten op antwoorden. Trusted Volumes moet een duidelijke post-mortem geven waarin precies wordt uitgelegd hoe de handtekeningcontrole faalde en wat er wordt gedaan om herhaling te voorkomen. Het vertrouwen herstellen na een gat van $5,9 miljoen gaat niet vanzelf. De gemeenschap zal uitkijken naar dat rapport — en naar verdere bewegingen vanuit de wallet van de hacker.
