EK RSS

[EK RSS @rss20236ek]

@compliantvc CLimate change is scam

[EK RSS @rss20236ek]

@compliantvc Pathetic

[EK RSS @rss20236ek]

@denverbitcoin @DailyMail Gipsy

[EK RSS @rss20236ek]

@DailyMail Throw the judge into prison

[EK RSS @rss20236ek]

@emkenobi This judge shall eat shit

[Humphrey｜Crypto Research @Humphre98361099]

赏金换来的不是感谢，是下一次攻击｜TrustedVolumes 攻击事件深度解析

一、项目方介绍

TrustedVolumes 是谁？

TrustedVolumes 是 1inch 生态中最重要的做市商（Market Maker）和 Resolver 之一。要理解它的角色，需要先理解 1inch Fusion 的运作模型。

1inch Fusion 是一种「意图交易」（Intent-based Trading）架构：

用户不直接与链上 AMM 交互，而是提交一笔「意图订单」，由网络中的 Resolver 竞价撮合，谁能以最优价格完成这笔交易，谁就获得订单。

Resolver 本质上是专业化的链上做市机器人，需要预先在合约中储备大量流动性资产，才能随时响应用户订单。

TrustedVolumes 正是这个体系中的核心基础设施提供商。

它不仅服务于 1inch，还同时为多个 DeFi 协议提供流动性。正因为其角色的重要性，Resolver 合约内长期托管着大量多资产仓位——这也使它成为攻击者的高价值目标。

二、事件来龙去脉

第一章：2025年3月，第一次交手

故事的起点要追溯到2025年3月5日。

攻击者发现 1inch Fusion V1 的 Settlement 合约存在一个底层 EVM 漏洞，并以此为突破口，盗走了约 $500万美元的资产，受害方主要就是 TrustedVolumes。

这次漏洞的技术核心是「Calldata Corruption」——在 _settleOrder() 函数的 Yul 汇编代码中，攻击者通过将 interactionLength 设置为极大负数（整数下溢），使内存指针发生越界，从而劫持程序控制流，强迫 Resolver 合约向攻击者地址转账。

事后，这场攻击以一种罕见的方式收场：

攻击者主动发起链上谈判，愿意归还资产换取漏洞赏金。TrustedVolumes 接受了这一方案，双方达成和解，大部分资金得以返还。

这次和解埋下了一个隐患：TrustedVolumes 被攻击者识别为「有价值、且愿意谈判的目标」，从此进入其长期监控名单。

第二章：2026年5月7日，同一个人，全新漏洞

时隔14个月，同一攻击者再次出手，但这一次瞄准的是完全不同的攻击面。

Blockaid 指出，此次攻击涉及的是另一个漏洞——与 TrustedVolumes 自控的 Custom RFQ Swap Proxy 合约相关，而非此前已被修复的旧合约。

攻击发生在北京时间5月7日凌晨，安全机构 Blockaid 和 PeckShield 率先通过链上监控系统实时捕捉到异常。

被盗资产包括 1291.16 WETH、206,282 USDT、16.939 WBTC 和 1,268,771 USDC，初步损失约 $587万。

攻击者随即在 DEX 上将所有资产换成 ETH，分散至三个地址。

TrustedVolumes 随后官方确认，将损失更新至约 $670万，并表示愿意考虑漏洞赏金以协商解决。

三、攻击核心：漏洞原理精解

这次攻击之所以值得深究，是因为它揭示了 DeFi 自定义组件中一类极为危险却又极为常见的设计失误。

整个攻击链条可以用一句话概括：

攻击者通过调用一个没有任何访问控制的公开函数，将自己注册为「合法的授权签名者」，然后凭借这个身份，借用用户过去授予合约的无限额 Token Approval，直接把 Resolver 合约里的钱转走。

详细拆解如下：

第一环：身份注册入口毫无防护

Custom RFQ Swap Proxy 合约中存在一个函数，其设计目的是管理「授权订单签名者」白名单。这类白名单机制在 DeFi 中很常见——只有白名单内的地址，才能代表协议发出有效的交易指令。

问题在于，这个注册函数是 public 的，且没有加任何权限修饰符（如 onlyOwner、onlyAdmin 或自定义白名单校验）。

攻击利用了合约中的一个公开函数——通过该函数，攻击者将自己注册为「授权订单签名者」。任何外部地址均可调用，相当于把保险箱的钥匙复制权开放给了所有人。

第二环：历史授权成为攻击弹药

DeFi 用户在使用协议时，通常会签署「无限额授权」（Unlimited Approval），允许协议合约随时动用自己钱包中的 Token。这是一种为了节省 Gas、提升使用体验的普遍做法，但同时也意味着：

一旦授权合约的权限管控失效，用户资产便毫无屏障地暴露在外。

一旦获得授权签名者权限，攻击者便可利用用户此前授予合约的历史授权直接转移资金，无需用户实时确认任何交易。

第三环：Resolver 对 Proxy 无条件信任

Resolver 合约被设计为：

只要收到来自 Proxy 合约的有效格式指令，就执行结算动作。它信任 Proxy 的调用是合法的 RFQ 撮合请求，不会也无法辨别指令背后的意图是否为恶意转账。

攻击者控制 Proxy 的签名身份后，便可构造一笔「正常格式但恶意内容」的 RFQ 订单：

表面上是撮合一笔兑换，实质上是把 Resolver 合约内的资产单向转入自己的地址。Resolver 忠实执行，资金流出。

与2025年旧漏洞的本质区别

这两次攻击来自同一个人，但技术层面截然不同：

2025年的漏洞属于底层 EVM 内存操控，攻击者需要精通 Yul 汇编和 EVM 内存布局，通过整数下溢破坏内存指针，强行劫持执行流程——技术难度极高，属于「黑客技艺」。

2026年的漏洞属于业务逻辑设计缺陷，不需要任何底层 EVM 技巧，只需要识别出一个没有权限控制的公开函数并调用它。

这类漏洞在代码层面几乎是「一眼可见」的，却因为长期没有被利用而被忽视——这也是它最令人警醒的地方：

最危险的漏洞，有时不是最复杂的，而是最容易被习惯性忽略的。

四、事件影响

对 TrustedVolumes 的直接影响

$670万的损失对做市商而言，不仅是资产损失，更是流动性信任危机。

Resolver 合约的资产是其参与订单竞价的核心弹药，一旦被盗，其在 1inch Fusion 生态中的做市能力将直接受损，短期内难以恢复正常运营规模。

对 1inch 生态及用户的传导影响

1inch 官方表示，其系统、基础设施及用户资金不受影响，TrustedVolumes 作为独立流动性提供商运营，攻击仅限于其自控 Resolver 合约。

但这并不意味着用户可以完全置身事外——曾通过 1inch Fusion 路由与 TrustedVolumes 交互的用户，其历史 Token Approval 仍可能存在被滥用的风险，建议通过 https://t.co/TGrmloqFsF 撤销相关授权。

对整个意图交易架构的深层拷问

这次事件的行业影响，远超损失金额本身。

它揭示了意图交易体系中一个系统性的安全盲区：

Resolver 作为核心基础设施节点，其安全性完全取决于自研组件的代码质量，而这些自研组件往往游离于主协议的审计范围之外。

当 Resolver 规模越大、托管资产越多，它就越成为攻击者的高价值目标——而这恰恰与其做市商身份所要求的资金规模形成正向循环的悖论。

同一攻击者连续作案的警示

这也许是这次事件最值得反思的侧面：

TrustedVolumes 在2025年已经遭受过攻击，并完成了修复和和解。

但「经历过攻击」不等于「经过了实战检验」——攻击者会持续观察目标，寻找下一个未被注意到的攻击面。

上一次的漏洞赏金谈判，反而向攻击者确认了这个目标「有钱、有意愿谈判」，进一步强化了重复攻击的动机。

[EK RSS @rss20236ek]

@Anime4Archives @grok @grok Use the girl from the attached photo (the one in the silver bikini), put her in the mirror room from the original post, full body standing pose, glass floor and walls with clear reflections, keep the realistic style

[EK RSS @rss20236ek]

https://t.co/Sp3x2Rs5XW

[EK RSS @rss20236ek]

@BernieSanders No (wor) king

[EK RSS @rss20236ek]

@TIME US literally has no king. Are you protesting agaInst King Charle?

[Bee🎙️談東論西 @bee926cn]

"collateral fully intact, 底層資產沒有損失” ... 所以 USR 持有人可能沒事

那誰虧了？

黑客印了 80M 沒有backing 的 USR, 拿去 KyberSwap, Curve, Velora 這些 DEXs 換走了大概 $24M+ 的真實資產

提供流動性的 LPs 是這次真正受害者，而且大概率拿不回來了

Resolv 不能只說自己這邊沒事

[EK RSS @rss20236ek]

@IranTimes9 Pig

[EK RSS @rss20236ek]

@alilarijani_ir

[EK RSS @rss20236ek]

@zarahsultana Iran must go.

[EK RSS @rss20236ek]

@clashreport lovely

[EK RSS @rss20236ek]

@IranIntl_En Awesome

[EK RSS @rss20236ek]

@clashreport Lol

[Open Source Intel @Osint613]

Iranian opposition channels report that over the past 24 hours, the IRGC and Basij have been turning schools, mosques, and hospitals into their bases.

They are abandoning their own headquarters due to widespread strikes on Basij camps and police stations, and relocating to civilian sites, using the same tactics as Hamas, Hezbollah, and other terrorist groups. By doing so, the IRGC and Basij endanger civilians and effectively turn them into human shields.

@h3976a

[EK RSS @rss20236ek]

@IDF awesome

[Israel Defense Forces @IDF]

It’s official: All senior terrorist leaders of Iran’s Axis of Terror have been eliminated