- TrustedVolumes perdeu US$ 6,7 milhões em exploit de contrato customizado
- Hacker parece ser o mesmo do ataque à 1inch Fusion de março de 2025
- Protocolo oferece recompensa por vulnerabilidade e busca acordo
O provedor de liquidez TrustedVolumes confirmou que perdeu aproximadamente US$ 6,7 milhões em um ataque direcionado a seu sistema de cotações customizado. A plataforma, que opera integrada ao agregador 1inch, já iniciou conversas públicas com o invasor na tentativa de transformar o incidente em uma operação white hat com devolução dos fundos.
Os valores roubados estão distribuídos em três endereços na blockchain Ethereum. Dois deles mantêm cerca de US$ 3 milhões cada, enquanto o terceiro guarda aproximadamente US$ 700 mil em ativos diversos. A empresa confirmou os números através de sua conta oficial no X, onde também sinalizou abertura para estabelecer um canal de comunicação com o atacante.
Anatomia do ataque
A empresa de segurança blockchain Blockaid detalhou que o exploit aconteceu através de um proxy de swap RFQ (request-for-quote) controlado diretamente pela TrustedVolumes. Esse sistema customizado opera fora das rotas padrão de agregação da 1inch, o que explica por que usuários finais da plataforma principal não foram afetados.
Os dados on-chain revelam a extensão precisa do roubo: 1.291,16 WETH, 206.282 USDT, 16,939 WBTC e 1.268.771 USDC foram drenados do contrato resolver do protocolo no Ethereum. A soma total de US$ 5,87 milhões apenas dessa carteira específica representa a maior parte dos fundos comprometidos.
O endereço do explorador apresenta características técnicas que o conectam diretamente ao ataque anterior contra a 1inch Fusion v1 em março de 2025. Naquele episódio, um contrato resolver obsoleto foi explorado para drenar fundos de um market maker terceirizado — ironicamente, a própria TrustedVolumes.
Estratégia de recuperação
A abordagem da TrustedVolumes segue um padrão cada vez mais comum no ecossistema DeFi. Ao invés de simplesmente aceitar a perda, protocolos hackeados tentam converter invasores em “hackers éticos” através de ofertas de recompensa por vulnerabilidade (bug bounty) e promessas de não processar criminalmente.
Essa tática já funcionou em diversos casos entre 2023 e 2025. No próprio hack original da 1inch Fusion, negociações posteriores resultaram na devolução da maior parte dos fundos após o explorador perceber que sua identidade poderia ser rastreada. A pressão combinada de análise blockchain e ofertas de acordo criou incentivos para a devolução.
A 1inch esclareceu através de comunicado oficial que seus contratos principais de agregação permanecem intactos. O problema específico residia no design do proxy RFQ customizado da TrustedVolumes, uma camada de infraestrutura que a maioria dos traders nunca vê mas que movimenta milhões em liquidez nos bastidores.
Impacto no mercado DeFi
O incidente reforça uma tendência preocupante observada no mercado DeFi brasileiro e global. Atacantes sofisticados estão mirando cada vez mais em contratos auxiliares e proxies customizados que operam atrás das interfaces conhecidas. Esses componentes frequentemente recebem menos auditoria e atenção do que os protocolos principais.
Para investidores que utilizam agregadores de DEX como 1inch através de corretoras brasileiras ou diretamente, o caso serve como lembrete dos riscos ocultos. Mesmo quando o protocolo principal é seguro, integrações de terceiros e market makers podem introduzir vulnerabilidades que afetam a liquidez disponível e os preços de execução.
Se as negociações com o hacker falharem, o impacto pode se estender além da TrustedVolumes. A confiança em provedores de liquidez especializados seria abalada, potencialmente reduzindo a profundidade de mercado em rotas de swap complexas. Por outro lado, um acordo bem-sucedido estabeleceria mais um precedente para a resolução “diplomática” de exploits em DeFi.
O mercado aguarda os próximos movimentos do explorador, que detém as chaves para transformar este hack de US$ 6,7 milhões em mais um caso de recuperação parcial através de negociação — ou em mais uma estatística nas crescentes perdas do setor DeFi em 2026.
