Стабильная монета USR от Resolv потеряла привязку после того, как злоумышленник создал 80 миллионов неподкрепленных токенов и вывел примерно 25 миллионов долларов.

В воскресенье злоумышленник воспользовался уязвимостью в контракте создания стабильной монеты USR от Resolv, создав примерно 80 миллионов неподкрепленных токенов и выведя примерно 25 миллионов долларов, по данным нескольких компаний, занимающихся безопасностью блокчейна.

Атака началась около 2:21 ночи по всемирному координированному времени. Аккаунт X под названием YieldsAndMore первым сообщил об инциденте, опубликовав данные транзакций Etherscan, показывающие, что злоумышленник внес 100 000 USDC в контракт USR Counter от Resolv и получил взамен 50 миллионов USR, что примерно в 500 раз превышает ожидаемое количество. Вторая транзакция создала еще 30 миллионов USR.

USR — это стабильная монета, привязанная к доллару, которая использует стратегию хеджирования с нулевой бета-ценностью, обеспеченную ETH и BTC, а не фиатными резервами. Цена токена упала до 0,025 доллара на его наиболее ликвидном пуле Curve Finance менее чем через 17 минут после первой эмиссии, согласно данным DEX Screener. Позднее цена восстановилась до примерно 0,85 доллара, но к воскресному утру привязка не была восстановлена.

Снижение цены USR на Curve, согласно данным DEX Screener.

Злоумышленник, действующий с адреса, начинающегося с 0x04A2, обменивал созданные USR на USDC и USDT на децентрализованных биржах, а затем конвертировал полученные средства в ETH. Кошелек злоумышленника содержит 11 409 ETH, что составляет примерно 23,7 миллиона долларов на момент публикации, согласно данным блокчейна etherscan.io/address/0x8ED8cF0C1c531C1b20848E78f1CB32fa5B99b81C. Другой адрес кошелька, идентифицированный как принадлежащий злоумышленнику, содержит примерно 1,1 миллиона долларов в токенах wstUSR.

В своих сообщениях в X компания Resolv Labs заявила, что приостановила все функции протокола и что ее пул обеспечения "остается полностью нетронутым", и что "никакие основные активы" не были потеряны. Команда назвала проблему "изолированной от механизмов эмиссии USR".

Аналитики указывают на слабые механизмы контроля доступа.

Ончейн-аналитик Эндрю Хонг приписал взлом протоколу роль SERVICE_ROLE, привилегированной учетной записи, которая выполняет запросы на обмен. Эта роль контролировалась стандартной внешней учетной записью (EOA), а не мультиподписью. Контракт создания токенов не содержал проверок оракула, проверки суммы и ограничений на максимальную эмиссию.

Инвестиционный фонд DeFi D2 Finance предложил три возможных объяснения: оракул был подвергнут манипуляциям, была скомпрометирована внешняя учетная запись, подписывающая транзакции, или проверка суммы между запросом на создание токенов и его завершением просто отсутствовала. YieldsAndMore поддержал этот анализ и отметил, что административная роль не имела необходимых мер защиты, ожидаемых от протокола такого размера, как Resolv.

"Именно здесь риски, связанные со стейблкоинами, становятся реальностью", - заявил Дэдди Лавид, генеральный директор компании Cyvers, занимающейся безопасностью блокчейн-проектов, изданию The Block. "Одного аудита недостаточно, если вы не отслеживаете эмиссию и предложение в режиме реального времени, вы слепы в самый важный момент."

"Это связано с растущей тенденцией атак, которые направлены на "слепые зоны" команд безопасности - конфиденциальные ключи и учетные данные, которые сами по себе не содержат средства, но могут быть использованы для доступа к ним", - сказал Идо Софер, генеральный директор компании Sodot, занимающейся управлением ключами, изданию The Block.

Держатели USR столкнулись со значительными убытками

Хотя заявление компании Resolv о том, что ее "резервный пул остается полностью нетронутым", технически верно, оно не отражает масштаба ущерба. Как отметили аналитики блокчейна, атака имела форму инфляции предложения, а не прямого кражи активов, обеспечивающих стабильность. 80 миллионов новых токенов размыли существующее предложение, а продажа токенов злоумышленником уничтожила ликвидность пула. Любой, кто владел USR на момент атаки, столкнулся с немедленными убытками.

Депегирование также привело к последствиям в децентрализованных рынках кредитования. USR и его стейк-дериватив wstUSR принимались в качестве залога на платформах, включая Morpho и Gauntlet. Опытные трейдеры могли купить USR по его сниженной рыночной цене и взять в долг USDC под залог, используя жестко запрограммированную оценку в 1 доллар, что привело к оттоку ликвидности стейблкоинов из этих пулов. Компания D2 Finance сообщила, что пулы Morpho, курируемые Gauntlet, также пострадали.

Ущерб может затронуть и младшую часть резерва Resolv. Компания YieldsAndMore сообщила, что пул ликвидности Resolv (RLP), который служит страховым слоем, поглощающим убытки для защиты держателей USR, имел примерно 38,6 миллиона долларов в обращении по ценам до атаки. Крупнейшим держателем RLP является Stream Finance, протокол, предоставляющий доходность, который сообщил о убытках в 93 миллиона долларов в ноябре 2025 года после того, как внешний управляющий фондами присвоил активы.

Stream владеет позицией RLP в 13,6 миллиона токенов на Morpho, что составляет примерно 17 миллионов долларов чистых активов, что означает, что ее вкладчики могут столкнуться с еще одной значительной потерей, по данным YieldsAndMore.

Атака затронула протокол, который уже терял в стоимости. Рыночная капитализация USR снизилась с примерно 400 миллионов долларов в начале февраля до примерно 100 миллионов долларов до атаки, согласно данным CoinMarketCap. Цена токена управления RESOLV снизилась примерно на 8,5% за последние 24 часа после атаки.

Компания Resolv, базирующаяся в Абу-Даби, привлекла раунд финансирования seed в размере 10 миллионов долларов в апреле 2025 года. Основными инвесторами выступили Cyber.Fund и Maven11, а также Coinbase Ventures, Arrington Capital и Animoca Ventures. Компания, прошедшая инкубацию в Delphi Labs, предлагала доход за счет арбитража процентных ставок и использовала двухэтапную систему, сочетающую USR со страховым слоем, называемым RLP.

На сайте компании Resolv указано о 14 проведенных аудитах пятью компаниями, о вознаграждении Immunefi в размере 500 000 долларов за обнаружение ошибок и о постоянном мониторинге смарт-контрактов. Компания Resolv не сразу ответила на запрос о комментарии от The Block.

Эксплойт добавляется к растущему числу взломов DeFi в 2026 году

Инцидент с Resolv является последним в серии взломов криптовалютных проектов в начале 2026 года. В январе Truebit потерял 26,6 миллиона долларов из-за атаки, направленной на уязвимость в смарт-контракте, развернутом пять лет назад. В тот же месяц Makina Finance потеряла около 5 миллионов долларов из пула стабильных монет, когда злоумышленник использовал флэш-заем для манипулирования оракулом протокола. В отчете Immunefi, опубликованном на прошлой неделе, было обнаружено, что средний взлом криптовалюты теперь обходится примерно в 25 миллионов долларов, при этом пять крупнейших взломов в 2024-2025 годах составляют 62% от всех украденных средств.

Важно отметить, что это происходит в период активных дебатов среди законодателей США о регулировании стабильных монет, приносящих доход, в рамках закона GENIUS. Американская банковская ассоциация предупредила, что такие продукты могут привлекать депозиты от традиционных банков, и ключевые сенаторы достигли "принципиальной договоренности" по вопросу регулирования доходности стабильных монет в пятницу.

Отказ от ответственности: The Block является независимым СМИ, предоставляющим новости, исследования и данные. По состоянию на ноябрь 2023 года, Foresight Ventures является основным инвестором The Block. Foresight Ventures инвестирует в другие компании в сфере криптовалют. Криптовалютная биржа Bitget является основным LP для Foresight Ventures. The Block продолжает работать независимо, чтобы предоставлять объективную, содержательную и своевременную информацию о криптовалютной индустрии. Вот наши текущие финансовые отчеты.

© 2026 The Block. Все права защищены. Эта статья предоставлена только в информационных целях. Она не является и не предназначена для использования в качестве юридической, налоговой, инвестиционной, финансовой или иной консультации.