Атака на Resolv вызвала массовое падение стабильной монеты USR

• Атака была вызвана утечкой ключа.
• Доступ к ключу позволял создавать USR без ограничений.

Компания Resolv Labs, протокол, лежащий в основе стабильной монеты USR, потерпела взлом, который позволил создать около 80 миллионов токенов USR неправомерным образом. Инцидент произошел в первые часы воскресенья 22 марта 2026 года и вызвал немедленный обвал цены стабильной монеты, которая опустилась ниже 0,15 доллара, прежде чем частично восстановиться.

Атака была первоначально обнаружена пользователем X @ai_9684xtpa, который заметил в бухгалтерском учете Ethereum, как 100 000 токенов USDC Mint были преобразованы в 50 миллионов токенов USR в это воскресенье в 2:21 AM +UTC. Сразу после этого стабильная монета упала на 74%, а затем отскочила и стабилизировалась примерно на 50% ниже своей привязки к цене доллара. Отскок был вызван спекулятивными покупками и низкой ликвидностью. На момент написания она торгуется по курсу 0,45 доллара США.

Взлом Resolv привел к потере привязки к доллару в размере до 74% на некоторое время. Источник: etherscan / coingecko.

Компания, специализирующаяся на стабильных монетах, генерирующих доход, опубликовала свое первое официальное заявление, в котором признала создание "50 миллионов USR, не обеспеченных активами" и объявила о немедленной приостановке всех функций протокола. Через несколько часов было уточнено, что пул обеспечения остается нетронутым, и что проблема была связана только с механизмом эмиссии.

Структура атаки

Злоумышленник внес около 200 000 USDC (в двух транзакциях) в контракт "USR Counter" и, благодаря скомпрометированному ключу с ролью SERVICE_ROLE, сначала выпустил 50 миллионов USR, а затем еще 30 миллионов. Контракт проверял только минимальный депозит (100 000 USDC за операцию), но не устанавливал верхний предел на количество выпускаемых токенов. Дизайн позволял одному подписанту определять количество USR для выпуска без какого-либо механизма ончейн-валидации соотношения или лимита.

Злоумышленник быстро преобразовал большую часть в wstUSR, чтобы избежать проскальзывания, и обменивал ее на DEX, таких как Curve и Uniswap, на USDC, USDT и ETH. Он получил около 23-25 миллионов долларов США. Часть средств (около 11 437 ETH) уже была переведена на новые кошельки; он все еще удерживает около 20 миллионов wstUSR.

Бывший разработчик NEAR Protocol, Вадим, утверждает, что уязвимость Resolv не была ошибкой, а решением в дизайне:

Как работает чеканка USR: вы вносите USDC, и сторонний сервис с привилегированным ключом решает, сколько USR вам начеканить. Контракт проверяет минимальное значение, но не имеет максимального. Без ограничений. Без привязки к обеспечению. То, что скажет владелец ключа, будет напечатано. Вы можете внести 1 доллар и напечатать миллиарды.

Вадим – бывший разработчик NEAR.

Проблема заключалась в том, что этот ключ был скомпрометирован, и, получив доступ к ключу, злоумышленник мог без ограничений решать, сколько USR напечатать. Отсутствие многофакторной аутентификации, временных блокировок или других механизмов ограничения облегчило атаку.

Код чеканки USR. Источник: Vadim.

Кто пострадал?

Хотя Resolv заявляет, что «убеждается, что законные пользователи не пострадали», уже известно, что основными пострадавшими являются поставщики ликвидности пулов Curve и Uniswap, которые предоставили реальные USDC/USDT в обмен на фальшивые USR. Оценки показывают убытки около 17 миллионов долларов только в Curve.

Resolv заявляет, что «обеспечение остается нетронутым» после эксплуатации USR на сумму 80 миллионов долларов. Так кто же на самом деле потерял деньги? Не протокол: его казна не пострадала. Эксплуатация произошла на уровне чеканки. Фактически, контракт чеканки получил комиссию в 0,1% от самой эксплуатации. Протокол буквально заработал комиссию за атаку: ~50 000 USR перешли в collectedFee. Настоящие проигравшие – поставщики ликвидности Curve. Когда злоумышленник продал 80 миллионов USR без обеспечения на DEX, поставщики ликвидности были с другой стороны этой операции. Они предоставили реальные USDC и USDT. Они получили токены без ценности.

Вадим – бывший разработчик NEAR.

По словам Вадима, вопрос сейчас в том, кто компенсирует такие убытки. Resolv имеет механизм для покрытия убытков протокола, созданный для рыночных рисков, таких как отрицательные процентные ставки, а не для «компенсации внешним поставщикам ликвидности DEX после взлома. Автоматического механизма для этого не существует. Это будет политическое решение, и это означало бы, что держатели RLP понесут убытки из-за уязвимости безопасности, над которой у них не было контроля. Если Resolv компенсирует, держатели RLP заплатят. Если нет, LP понесут убытки, и фраза «обеспечение остается нетронутым» станет пиар-ходом, – утверждает разработчик.

В настоящее время ни Curve, ни Uniswap не прокомментировали произошедшую атаку. С другой стороны, Стани Кулехов, основатель Aave, заявил в X (https://x.com/StaniKulechov/status/2035631992151146725?s=20), что его платформа не пострадала.

[Изображение SVG]

Кулехов выразил уверенность в том, что Resolv сможет решить ситуацию, несмотря на репутационный ущерб, который может нанести потеря привязки стабильной монеты. Источник: X.

Для технического директора Ledger, Чарльза Гиллемета, атака приведет к возникновению невозвратной задолженности на некоторых рынках кредитования. «Некоторые пулы Morpho, которые использовали USR в качестве залога, уже были ликвидированы», — заявил топ-менеджер. Централизованные или полу-централизованные платформы, такие как Venus (https://x.com/VenusProtocol/status/2035579052317438340?s=20), немедленно приостановили торговлю USR, в то время как Euler (https://x.com/eulerfinance/status/2035629045853925743) и Haiku (https://x.com/HaikuTrade/status/2035650459801624682?s=20) приостановили все распределения и стратегии, связанные со стабильной монетой, предприняв превентивные меры для защиты своих пользователей. Lido (https://x.com/LidoFinance/status/2035607383544934483?s=20) и Ether.fi (https://x.com/ether_fi/status/2035717850787094705?s=20) публично подтвердили, что у их пользователей нет существенного риска или что задействованные средства остаются в безопасности, что ограничило системный эффект для более мелких сегментов экосистемы.

Однако Гиллемет считает, что атака не является серьезной для всего рынка криптовалют. «Учитывая объем выпущенных токенов и рыночную капитализацию USR, это не событие, подобное Terra Luna», — добавил он, имея в виду крах стабильной монеты UST, который вызвал системный сбой в 2021 году.

До эксплойта протокол обрабатывал объем заблокированных средств, который снизился с 400 миллионов долларов США до примерно 115 миллионов долларов США. Рыночная капитализация USR составляла около 92-93 миллионов долларов США. Токен управления RESOLV сегодня торгуется по цене 0,054 доллара США с рыночной капитализацией в 21 миллион долларов. Хотя это не такой гигант, как USDT или USDC, Resolv приобрел популярность в пулах Morpho, Euler, Aave и на таких платформах, как Ether.fi, Lido и Upshift.

Resolv Labs заявляет, что ее техническая команда работает над планом восстановления, который включает в себя выявление и возможное замораживание украденных средств.

Метки: Хакер Последние новости Стабильная монета

У вас есть важная информация для наших репортеров? Свяжитесь с нами