DeFi-Plattform TrustedVolumes durch $6,7 Millionen Hack betroffen, während Angriffe 2026 zunehmen
Die DeFi-Plattform TrustedVolumes, ein Anbieter von Liquidität und Market Maker, wurde am Donnerstagabend Opfer eines Angriffs auf einen Smart Contract, bei dem Millionen von Dollar in verschiedenen Vermögenswerten entwendet wurden.
TrustedVolumes durch $6,7 Millionen Hack betroffen
Am Donnerstag wurde die DeFi-Plattform TrustedVolumes, die als Liquiditätsanbieter und Market Maker für 1inch fungiert, durch einen neuen Exploit angegriffen, der Millionen von Dollar in verschiedenen Vermögenswerten aus dem Projekt abzog.
Berichten von Blockchain-Sicherheitsfirmen wie PeckShield und Blockaid zufolge stahl der Angreifer etwa $6 Millionen in Wrapped Ethereum (WETH), Wrapped Bitcoin (WBTC), USDT und USDT, indem er eine Schwachstelle in der Signaturvalidierungslogik des Protokolls ausnutzte. Diese Schwachstelle ermöglichte es dem Angreifer, Autorisierungsprüfungen zu umgehen und Handelsaufträge zu fälschen.
Der Hacker tauschte die gestohlenen Vermögenswerte schnell gegen 2.513 ETH auf einer dezentralen Börse (DEX) und verteilte sie auf drei Adressen. In einem Beitrag auf X bestätigte TrustedVolumes den Vorfall und teilte die Adressen mit, die derzeit die gestohlenen Gelder halten, und aktualisierte den geschätzten Verlust auf etwa $6,7 Millionen.
Die Schwachstelle betraf einen von TrustedVolumes kontrollierten benutzerdefinierten RFQ (Request for Quote) Swap Proxy. Ein Krypto-Forscher erklärte, dass der "Custom RFQ Swap Proxy Contract eine Funktion enthält, die dazu dient, die Whitelist der 'autorisierten Auftragssignierer' zu verwalten. Solche Whitelist-Mechanismen sind im DeFi-Bereich üblich – nur Adressen auf der Whitelist können gültige Transaktionsanweisungen im Namen des Protokolls ausgeben."
Allerdings stellte er fest, dass "diese Registrierungsfunktion öffentlich ist und keine Berechtigungsmodifikatoren enthält." Dadurch konnte der Angreifer diese öffentliche Funktion im Vertrag ausnutzen und sich selbst als autorisierten Auftragssignierer registrieren.
Gleicher Hacker, anderer Angriff
Online-Berichte zeigten, dass der Angreifer derselbe Hacker war, der für den $5 Millionen Exploit des 1inch Fusion V1 Settlement Contracts im März 2025 verantwortlich war, bei dem TrustedVolumes das Hauptopfer war.
Der Forscher betonte, dass, obwohl dieselbe Person beide Angriffe durchführte, sie sich technisch erheblich unterschieden. Der Exploit von 2025 beinhaltete eine Manipulation des EVM-Speichers auf niedriger Ebene im 1inch Fusion V1 Settlement Contract.
Damals initiierte der Hacker "proaktiv On-Chain-Verhandlungen" und bot an, die gestohlenen Vermögenswerte gegen eine White-Hat-Prämie zurückzugeben. Die DeFi-Plattform akzeptierte das Angebot, und die meisten Gelder wurden sicher zurückgegeben.
TrustedVolumes erklärte nun, dass es "offen für konstruktive Kommunikation bezüglich einer Bug-Bounty und einer einvernehmlichen Lösung" sei.
Der dezentrale Börsenaggregator 1inch stellte klar, dass es keine Auswirkungen auf seine Systeme, Infrastruktur oder Benutzerfonds gab und erklärte, dass "TrustedVolumes unabhängig als Liquiditätsanbieter operieren, der von mehreren Protokollen in der Branche genutzt wird und nicht exklusiv für 1inch ist."
DeFi-Exploits erleben historischen Anstieg
Dieser Angriff folgt auf eine Welle von Exploits, die den DeFi-Sektor im vergangenen Monat erschüttert haben. Letzte Woche enthüllte PeckShield, dass der Kryptobereich im April 40 große Hacks erlebte, die etwa $647 Millionen abflossen.
Diese Zahl stellt einen Anstieg von 1.140% im Vergleich zum März mit $52,2 Millionen dar. Sie bedeutet auch einen Anstieg von 292% gegenüber den $165 Millionen, die der DeFi-Sektor im ersten Quartal 2026 verlor.
Bemerkenswert ist, dass die beiden größten Vorfälle des Monats, die $285 Millionen von Drift Protocol und die $290 Millionen von KelpDAO, 91% der im letzten Monat verlorenen Gelder ausmachten. Zudem gehören sie nun zu den Top 10 Hacks seit 2021.
