Hacker TrustedVolumes stuurt 1.122 ETH terug als deelbetaling na exploit van $5,8 miljoen
De aanvaller achter de DeFi-exploit van $5,87 miljoen bij TrustedVolumes in mei stuurde op 17 juli 1.122,12 ETH (~$2,07 miljoen) terug — zo'n 35% van het gestolen bedrag — zonder officiële verklaring van het protocol.
De hacker die in mei zo’n $5,87 miljoen buitmaakte bij TrustedVolumes heeft 1.122,12 ETH$2.398,96▼2,00% — ongeveer $2,07 miljoen — teruggestuurd naar een wallet die door het protocol wordt beheerd. Het is de eerste gedeeltelijke terugbetaling bij een van de grotere DeFi-exploits van dit jaar en roept dringende vragen op over het motief achter de actie.
Op 17 juli maakte een van de wallets van de exploiter de fondsen over naar een door TrustedVolumes gecontroleerd adres. Dat detail komt uit een post op X van @Tokensfund die opdook op Reddit’s r/CryptoCurrency. Beide zijn ongeverifieerde bronnen op sociale media, en noch TrustedVolumes noch 1inch heeft een officiële verklaring afgegeven.
Het teruggestorte bedrag komt neer op ongeveer 35% van de ondergrens van de oorspronkelijke diefstal. ETH noteerde op het moment van de overboeking $1.845 — een stijging van 0,67% over 24 uur — waarmee 1.122,12 ETH op ongeveer $2,07 miljoen uitkwam, in lijn met het bedrag dat werd gerapporteerd toen de transactie on-chain zichtbaar werd.
De oorspronkelijke exploit vond plaats op 7 mei 2026. TrustedVolumes, een onafhankelijke DeFi-liquiditeitsverschaffer en RFQ-market maker (Request for Quote) die geïntegreerd is met 1inch Fusion, verloor tussen de $5,87 miljoen en $6,7 miljoen in één enkele transactie. De aanvaller misbruikte een kwetsbaarheid in TrustedVolumes’ op maat gemaakte RFQ-swapproxy en ging ervandoor met ongeveer 1.291 WETH, 206.000 USDT$0,9992▲0,01%, circa 17 WBTC en ongeveer 1,27 miljoen USDC$0,9998▲0,02%.
Dit is geen op zichzelf staand incident. Dezelfde operator wordt gezien als de drijvende kracht achter de exploit van 1inch Fusion V1 in maart 2025 — een trackrecord dat nu meer dan een jaar beslaat en steeds hetzelfde ecosysteem blijft treffen. Die geschiedenis maakt de overboeking van juli lastig te duiden. Een seriële exploiter die een derde van de buit teruggeeft, past niet in het gangbare white-hat-patroon, waarbij aanvallers doorgaans het grootste deel van de gestolen fondsen binnen enkele dagen terugsturen, niet maanden later, en dat vrijwel altijd doen met een publieke boodschap of via een tussenpersoon.
Er zijn meerdere verklaringen denkbaar. De gedeeltelijke teruggave kan wijzen op een onderhandelde schikking — mogelijk bood TrustedVolumes een beloning aan of stemde het ermee in geen juridische stappen te ondernemen in ruil voor terugbetaling. Het kan ook druk weerspiegelen van wetshandhaving of chain-analysebureaus, die het de aanvaller moeilijker hebben gemaakt om de fondsen uit te betalen. Of de zet is puur tactisch: het teruggeven van een deel van de fondsen kan een poging zijn om minder aandacht te trekken terwijl het grootste deel van de gestolen activa wordt behouden. Geen van die lezingen valt te bevestigen op basis van wat publiekelijk bekend is.
Het stilzwijgen van TrustedVolumes en 1inch valt op. Meer dan twee maanden na de exploit en een volle dag na de gedeeltelijke terugbetaling heeft geen van beide partijen de overboeking publiekelijk erkend, een herstelplan voor gedupeerde gebruikers geschetst, of bekendgemaakt of er onderhandelingen met de aanvaller hebben plaatsgevonden. Daardoor moeten gedupeerden en waarnemers on-chain data en berichten op sociale media napluizen op zoek naar aanwijzingen — een wankele basis nu er miljoenen dollars op het spel staan.
De bredere marktsituatie biedt weinig troost. De crypto Fear & Greed Index staat op 25 van de 100, diep in het territorium van Extreme Angst, bij een totale marktkapitalisatie van $227,38 miljard. De bescheiden stijging van ETH met 0,67% naar $1.845 over 24 uur verandert niets aan het sentiment in een klimaat waarin beleggers al risicomijdend zijn. Een gedeeltelijk herstel van gestolen fondsen is welkom, maar zal vermoedelijk weinig doen voor het vertrouwen in DeFi-protocollen — zeker in protocollen die draaien op aangepaste, niet-geauditeerde swapproxy’s.
De zaak-TrustedVolumes zet ook een hardnekkige zwakte in het RFQ-model opnieuw in de schijnwerpers. Op maat gemaakte smart contracts die grote orders verwerken, zijn aantrekkelijke doelwitten, en één kwetsbaarheid kan in één transactie miljoenen wegvloeien. Dat dezelfde aanvaller meer dan een jaar na de eerste exploit terugkeerde naar het ecosysteem, suggereert dat het aanvalsoppervlak niet volledig is gedicht — of dat nieuwe integraties steeds weer nieuwe toegangspunten creëren.
Ongeveer 65% van de gestolen fondsen — het resterende saldo aan WETH, USDT, WBTC en USDC dat niet op 17 juli is teruggestort — blijft onverklaard. Of de aanvaller nog een overboeking doet, TrustedVolumes eindelijk zijn stilzwijgen doorbreekt, of er juridische stappen publiekelijk aan het licht komen, zal bepalen of deze gedeeltelijke terugbetaling het begin is van een volledig herstel, of slechts de eerste termijn van een onderhandeld verlies.
Marcus Feld
Marcus Feld is de DeFi- en on-chain-analist van CoinScoop. Hij duikt in L2-activiteit, stablecoinstromen en protocolinkomsten, en vertaalt ruwe blockchaindata naar heldere conclusies.