1inch (DEX Aggregator)

Eventi documentati e chiusi. Restano in scheda: il passato di un operatore è un dato, non una condanna.

1. 5 mar 2025 Hack / furto di fondi Moderato 5 Mln USD ✓ risolto

   Un difetto nel vecchio contratto Fusion v1 di 1inch è costato circa 5 milioni di dollari a un market maker che lo usava ancora. Nessun fondo di utente finale toccato; l'attaccante ha restituito circa 4,05 milioni trattenendosi il resto come «taglia» del 10%

   Il 5 marzo 2025 un attaccante ha sottratto circa **5 milioni di dollari** — 2,4 milioni di USDC e 1.276 WETH — sfruttando un difetto nella funzione `_settleOrder` dei **contratti resolver Fusion v1**, la versione dismessa del sistema di esecuzione degli ordini di 1inch. Il bug è un **underflow di interi**: passando un valore negativo di `interactionLength` (-512) si otteneva una corruzione di memoria che permetteva di reindirizzare i fondi. Nessuna tecnica sofisticata, aritmetica di base — e, dato che vale la pena registrare, **nove team di audit non l'avevano visto**. Chi ha perso i soldi, perché è la distinzione che conta: non gli utenti di 1inch, ma i **resolver**, cioè i market maker che eseguono gli ordini sul protocollo e che avevano ancora in produzione l'implementazione Fusion v1 dentro i propri contratti. Il più colpito è stato TrustedVolumes. 1inch ha dichiarato pubblicamente: «Stiamo lavorando attivamente con i resolver colpiti per mettere in sicurezza i loro sistemi. Invitiamo tutti i resolver a verificare e aggiornare immediatamente i propri contratti». ⚠️ Va detto anche ciò che non torna nella comunicazione: la prima dichiarazione dell'azienda — «nessun fondo di utente finale era a rischio» — era tecnicamente vera ma **ometteva i 5 milioni già sottratti ai resolver**, e questo le è stato contestato. Dopo una trattativa l'attaccante ha **restituito circa 4,05 milioni di dollari**, trattenendone circa **450.000** come «commissione del 10%» autoassegnata. Il caso è chiuso: i contratti vulnerabili erano già deprecati, l'esposizione residua riguardava solo chi non li aveva aggiornati. Perché questa voce esiste: fino a oggi la scheda dichiarava «nessun incidente noto» con una data di verifica — un'affermazione **falsa**, visto che il fatto è del marzo 2025.

   ↗ fonte

verificato il 2 ott 2026