黑客洗钱事件概述
一名黑客开始洗钱从流动性提供商TrustedVolumes盗取的数字资产，金额高达670万美元，网络安全公司PeckShield表示。PeckShield的最新数据显示，这名黑客已经开始转移价值数十万美元的以太坊（ETH）。
“TrustedVolumes的攻击者迄今已洗钱278,000美元的被盗资金：他们向TornadoCash存入了10.2 ETH（约23,600美元），并通过THORChain将110 ETH（约250,000美元）洗钱为比特币（BTC）；他们还尝试向Railgun存入0.5 ETH，但最终决定将其退回。TrustedVolumes在5月7日遭受了约670万美元的攻击。”
公司回应与黑客谈判
TrustedVolumes表示，他们愿意与黑客进行谈判以达成解决方案。该公司还列出了三个钱包地址，其中两个地址持有约300万美元的被盗加密资产，另一个地址持有70万美元的被盗资产。
“我们最近遭到攻击……我们愿意就漏洞赏金和双方都能接受的解决方案进行建设性沟通。”区块链安全公司QuillAudits表示，黑客通过利用平台自定义订单结算系统中的设计缺陷，能够在一次交易中盗取数百万美元。
攻击机制分析
“TrustedVolumes作为1inch的做市商和解决者，通过自定义的报价请求（RFQ）代理提供链上流动性……在RFQ模型中，做市商预先签署订单，为特定的代币对报价。交易者将该签名报价提交给结算合约，合约验证签名并原子性地执行交换。”
该系统依赖于三项保证的协同工作：做市商必须授权可以代表其签署订单的人，每个签名订单只能被填充一次（重放保护），并且填充的代币来源必须是经过认证的做市商自己的库存，而不是任意第三方地址。在TrustedVolumes的实现中，这三项保证同时失效，攻击者在一次复合交易中利用了这一点。
