Otro ataque multimillonario ha golpeado al sector DeFi después de que el proveedor de liquidez y creador de mercado TrustedVolumes cayera víctima de una vulnerabilidad de contrato inteligente el jueves por la noche.
## TrustedVolumes afectado por un hack de $6.7M
El jueves, la plataforma DeFi TrustedVolumes, uno de los proveedores de liquidez y creadores de mercado de 1inch, sufrió una nueva vulnerabilidad que drenó millones de dólares en varios activos del proyecto.
Según informes de las firmas de seguridad blockchain PeckShield y Blockaid, el atacante robó aproximadamente $6 millones en Wrapped Ethereum (WETH), Wrapped Bitcoin (WBTC), USDT y USDT después de explotar una vulnerabilidad en la lógica central de validación de firmas del protocolo, lo que les permitió eludir los controles de autorización y falsificar órdenes de negociación.
Cabe destacar que el hacker intercambió rápidamente todos los activos por 2.513 ETH en un intercambio descentralizado (DEX) y los distribuyó entre tres direcciones. En una publicación en X, TrustedVolumes confirmó el incidente, compartiendo las direcciones que actualmente poseen los fondos robados y actualizando la pérdida estimada a aproximadamente $6.7 millones.
La vulnerabilidad era un proxy de intercambio RFQ (solicitud de cotización) personalizado controlado por TrustedVolumes. El investigador criptográfico Humphrey explicó que “el contrato Custom RFQ Swap Proxy contiene una función diseñada para gestionar la lista blanca de ‘autorizados para firmar órdenes’. Tales mecanismos de lista blanca son comunes en DeFi: solo las direcciones en la lista pueden emitir instrucciones de transacción válidas en nombre del protocolo”.
Sin embargo, señaló que “esta función de registro es pública y carece de cualquier modificador de permiso”. Como resultado, el atacante explotó esta función pública dentro del contrato, registrándose a sí mismo como un firmante de órdenes autorizado.
“Dado que cualquier dirección externa puede llamar a esta función, es equivalente a dar a todos la capacidad de hacer una copia de la llave de la caja fuerte”, continuó el investigador.
Mismo hacker, diferente ataque
Los informes en línea revelaron que el atacante era el mismo hacker responsable del exploit de $5 millones del contrato 1inch Fusion V1 Settlement en marzo de 2025, del cual TrustedVolumes fue la víctima principal.
Humprey destacó que, aunque la misma persona realizó ambos ataques , fueron significativamente diferentes a nivel técnico. Según la publicación, la vulnerabilidad de 2025 involucró manipulación de memoria de bajo nivel en EVM dentro del contrato 1inch Fusion V1 Settlement.
En ese momento, el hacker “inició proactivamente negociaciones en cadena”, ofreciendo devolver los activos robados a cambio de una recompensa de white hat. La plataforma DeFi aceptó la propuesta y la mayor parte de los fondos fueron devueltos de forma segura.
Ahora, TrustedVolumes afirmó que está “abierto a una comunicación constructiva respecto a una recompensa por bugs y a una resolución mutuamente aceptable”.
El agregador de intercambio descentralizado 1inch aclaró que no hubo impacto en sus sistemas, infraestructura o fondos de usuarios, explicando que “TrustedVolumes opera de forma independiente como proveedor de liquidez, utilizado por múltiples protocolos en la industria, y no es exclusivo de 1inch”.
Los exploits DeFi experimentan un aumento históricoEste ataque sigue a una ola de vulnerabilidades que ha sacudido al sector DeFi durante el último mes. La semana pasada, PeckShield reveló que el espacio cripto vio 40 hacks importantes en abril, lo que drenó aproximadamente $647 millones.
Esta cifra representa un aumento del 1,140 % mes a mes (MoM) respecto a los $52.2 millones de marzo. También representa un incremento del 292 % respecto a los $165 millones que perdió el sector DeFi durante el primer trimestre de 2026.
Cabe destacar que los dos incidentes principales del mes, los exploits de $285 millones de Drift Protocol y los de $290 millones de KelpDAO , representaron el 91 % de los fondos perdidos el mes pasado. Además, ahora se ubican entre los 10 hacks más grandes desde 2021.
