1inch TrustedVolumes 漏洞窃取 590 万美元

导语

据 Blockaid 与 The Block 于 2026 年 5 月 7 日的报道，1inch 的 TrustedVolumes 流动性提供层遭遇正在进行的利用，已被抽走约 590 万美元。Blockaid 将此次攻击归因于与 2025 年 3 月利用 1inch Fusion V1 的同一实体有关联，后者当时从该协议中移除约 500 万美元（The Block，2026 年 5 月 7 日）。攻击者画像的重复出现立即引发了关于该漏洞向量是否可重复利用以及在 2025 年事件后所实施的安全更新是否充足的质疑。市场参与者在披露时实时作出反应，链上观察者和托管服务标记了与资金外流相关的地址。本报告汇总了公开来源的数据、时间线和潜在行业影响，但不提供投资建议。

背景

The Block 与 Blockaid 于 2026 年 5 月 7 日的披露将此次事件置于一个简短的时间序列中：2025 年 3 月的 Fusion V1 漏洞（约 500 万美元）随后在 2026 年 5 月初出现了 TrustedVolumes 事件（约 590 万美元）。这一序列暗示直接攻击收益在同比上升了约 18%，鉴于 DeFi 流动性高度集中，这一对比并非微不足道。Blockaid 的归因虽然不等同于法律层面的认定，但其基于交易模式分析和地址重用所做的判断，是安全公司常用的分析方法；The Block 的初始报告包含了本文引用的主要时间戳和汇总金额（The Block，2026 年 5 月 7 日）。对于监控操作风险的机构对手方而言，重复发生的事件增加了潜在漏洞仍未修补或在 2025 年事件后未被充分缓解的概率。

受影响的组件 TrustedVolumes 是为支持 1inch Fusion 流动性原语而构建的流动性提供层；该模块的作用是聚合并路由跨池流动性。针对聚合层的利用会压缩系统性风险，因为它们可能同时触及多个池和对手方。历史上，命中聚合或路由层的高曝光度 DeFi 利用事件往往对相邻协议产生放大的二阶影响——即使美元损失相对于数亿美元级别的黑客事件较为温和，也可能加速去杠杆和流动性撤离（例如 Poly Network 2021 年约 6 亿美元的事件）。因此，TrustedVolumes 事件的意义不仅在于 590 万美元的头条数字，还在于它揭示了 1inch 可组合性堆栈中的分布式风险。

机构用户应注意时序与公开披露动态：Blockaid 在 2026 年 5 月 7 日报告时描述该利用为“正在进行中”，这意味着在发布时修复、资金回收和冻结尚未完成。这与一些过去的高调事件形成对比：在那些事件中，集中托管方或多签守护者能够立即暂停活动；而在可组合、无许可的环境中，冻结机制需要事先在架构上提供。事实时间线和重复被利用的历史使得 TrustedVolumes 事件成为治理响应能力、保险覆盖充足性与链上取证能力的一个检验案例。

数据深度解析

Blockaid 估算被抽走的资金近 590 万美元，紧邻 2025 年 3 月 Fusion V1 的约 500 万美元损失；这两项数据构成评估攻击者规模的核心定量基础。具体而言，使用简单算术，近期事件相对于早期事件的提取价值约增加了 18%。The Block 报道了 2026 年 5 月 7 日的披露并引用了 Blockaid 的分析；二者是时间点和汇总数额的主要来源。作为对比，2021 年 Poly Network 的窃取事件达到约 6 亿美元（在部分返还之前）——这说明尽管 TrustedVolumes 的损失对 1inch 参与者而言是重要的，但与历史上最大规模的 DeFi 破坏事件相比仍有数量级差距。

安全公司报告的链上交易细节通常包含有时间戳的转账、中间跳转和套现路径；Blockaid 的公开评论指出了与 2025 年 3 月利用一致的地址重用和交易模式。这类行为指纹增强了将多起事件关联在一起的信心，但并不等同于链下身份归属的认定。从数值角度看，在两起事件中重复提取约 500–600 万美元暗示协议架构中存在一个可被反复利用的持续通道，直到实施全面修补或协议重设计为止。

围绕该事件的市场信号也很重要。尽管 1inch 的治理代币 1INCH 与以太坊（ETH）仍是价格和流动性冲击的自然参考点，此次主要的影响向量是操作性与对手方信用风险，而非会立即推动更广泛加密市场发生系统性蔓延。然而，托管方与交易所常常通过退市或临时暂停受影响代币或池的充值来应对——这种预防性举措可能导致局部流动性压缩。机构投资者应跟踪后续的链上资金流动、任何司法或监管文件，以及 1inch Labs 与主要托管提供方发布的具体补救行动声明。

行业影响

同一协议家族上反复发生的利用事件往往对机构采用决策产生放大效应。对于将风险计入自动化做市仓位的做市商与流动性提供者而言，在同一协议类别中攻击者收益同比上升约 18% 是重新评估曝险的信号。对 1inch 的声誉代价可能表现为点差扩大、LP 参与度下降，以及对手方基于定制操作风险指标而提高的资本成本。相比之下，协议 tha