TrustedVolumes confirma roubo de US$ 6,7 milhões e 1inch nega impacto em seus usuários

São Paulo, 7 de maio de 2026 – A TrustedVolumes, formadora de mercado e “resolver” utilizada pelo recurso Fusion da 1inch, confirmou ter sofrido um ataque que resultou na perda de aproximadamente US$ 6,7 milhões.

Fundo roubado está dividido em três carteiras

Em publicação feita nesta quinta-feira (7) na rede social X, a empresa detalhou que os valores desviados foram distribuídos entre três endereços na rede Ethereum: dois com cerca de US$ 3 milhões cada e um terceiro com aproximadamente US$ 700 mil. A TrustedVolumes afirmou estar disposta a negociar uma recompensa por falha (bug bounty) e buscar uma solução amigável com o responsável.

Detecção do ataque

A empresa de segurança Blockaid informou ter identificado a ação maliciosa por meio de seu sistema de detecção em tempo real. Segundo a companhia, o invasor explorou uma infraestrutura de swap personalizada controlada pela TrustedVolumes e retirou, inicialmente, cerca de US$ 5,87 milhões em ativos como Wrapped Ether (WETH), USDT, Wrapped Bitcoin (WBTC) e USDC.

Já a CertiK explicou que o autor do ataque conseguiu cadastrar-se como “order signer” por meio de uma função pública, o que lhe permitiu autorizar ordens que transferiram fundos dos alvos para suas próprias carteiras.

1inch afirma não ter sido afetada

Em comunicado também divulgado na X, a 1inch declarou que suas plataformas, infraestrutura e fundos de usuários permanecem seguros, classificando como “equivocadas” as menções de que a brecha estaria ligada diretamente à empresa. O cofundador Sergej Kunz reforçou que a TrustedVolumes opera de forma independente e atende a diversos protocolos além da 1inch.

Imagem: Trader Iniciante 2 (14)

Especialistas veem fragilidade em soluções de terceiros

O pesquisador de segurança Vladimir Sobolev, conhecido como Officers Notes, disse ao Cointelegraph que não há risco para usuários da 1inch, destacando que a vulnerabilidade se restringe à TrustedVolumes. Ele apontou ainda a necessidade de mecanismos como “kill switches” e circuit breakers para reduzir o impacto de falhas no ecossistema cripto.

Reincidência do mesmo operador

Tanto a Blockaid quanto Sobolev associam o ataque ao mesmo agente responsável pela exploração do resolver Fusion V1 da 1inch em março de 2025, quando cerca de US$ 5 milhões foram levados. Na ocasião, a maior parte dos recursos foi devolvida após acordo de bug bounty, mas a vulnerabilidade explorada agora é diferente, segundo as empresas de segurança.

A TrustedVolumes não respondeu a novos pedidos de comentário até o fechamento desta reportagem.