Penulis: Eric, Foresight News

Pada waktu Beijing hari ini sekitar 10:21, Resolv Labs yang menerbitkan stablecoin USR dengan strategi netral Delta telah diserang oleh peretas. Alamat yang dimulai dengan 0x04A2 mencetak 50 juta USR dari protokol Resolv Labs menggunakan 100 ribu USDC.

Seiring dengan terungkapnya peristiwa, USR merosot ke sekitar 0,25 dolar AS, dan pada saat penulisan telah pulih ke sekitar 0,8 dolar AS. Harga token RESOLV juga mengalami penurunan mendekati 10% dalam waktu singkat.

Setelah itu, peretas mengulangi cara yang sama dan mencetak 30 juta USR lagi menggunakan 100 ribu USDC. Dengan depeg yang besar dari USR, para trader arbitrase juga bertindak cepat, banyak pasar pinjaman di Morpho yang mendukung USR, wstUSR, dan lainnya sebagai jaminan hampir habis, dan Lista DAO di BNB Chain juga menangguhkan permintaan pinjaman baru.

Yang terpengaruh tidak hanya terbatas pada protokol pinjaman ini. Dalam desain protokol Resolv Labs, pengguna juga dapat mencetak token RLP yang memiliki fluktuasi harga lebih besar dan imbal hasil lebih tinggi, tetapi harus menanggung tanggung jawab kompensasi ketika protokol mengalami kerugian. Saat ini, sirkulasi token RLP mendekati 30 juta, dengan pemegang terbesar Stream Finance memegang lebih dari 13 juta RLP, dengan eksposur risiko bersih sekitar 17 juta dolar.

Benar, Stream Finance yang sebelumnya pernah terkena masalah dengan xUSD kemungkinan akan kembali terkena pukulan.

Hingga saat penulisan, peretas telah mengonversi USR menjadi USDC dan USDT, serta terus membeli Ethereum, dan saat ini telah membeli lebih dari 10 ribu. Dengan 200 ribu USDC, mereka menarik lebih dari 20 juta dolar aset, peretas menemukan 'koin seratus kali lipat' milik mereka selama pasar bearish.

Sekali lagi terkena 'kecerobohan' yang dimanfaatkan.

Penurunan besar pada 11 Oktober tahun lalu menyebabkan banyak stablecoin yang diterbitkan menggunakan strategi netral Delta mengalami kerugian jaminan akibat ADL (Automatic Deleveraging). Beberapa proyek yang menggunakan aset altcoin sebagai strategi eksekusi mengalami kerugian yang lebih parah bahkan ada yang langsung kabur.

Kali ini, Resolv Labs yang diserang juga menggunakan mekanisme serupa untuk menerbitkan USR. Proyek ini pernah mengumumkan pada April 2025 bahwa mereka telah menyelesaikan putaran pendanaan awal sebesar 10 juta dolar yang dipimpin oleh Cyber.Fund dan Maven11, dengan partisipasi dari Coinbase Ventures, dan pada akhir Mei hingga awal Juni, token RESOLV diluncurkan.

Namun, alasan serangan terhadap Resolv Labs bukanlah kondisi ekstrem, melainkan desain mekanisme pencetakan USR yang 'tidak cukup ketat'.

Saat ini belum ada perusahaan keamanan atau pihak resmi yang menganalisis alasan terjadinya insiden peretasan ini. Komunitas DeFi YAM melalui analisis awal telah sampai pada kesimpulan bahwa serangan kemungkinan disebabkan oleh SERVICE_ROLE yang digunakan backend protokol untuk memberikan parameter ke kontrak pencetakan yang telah dikuasai oleh peretas.

Menurut analisis Grok, pengguna yang mencetak USR akan mengajukan permintaan di blockchain dan memanggil fungsi requestMint dari kontrak, dengan parameter termasuk:

_depositTokenAddress: alamat token yang disetorkan;

_amount: jumlah yang disetorkan;

_minMintAmount: jumlah USR minimum yang diharapkan diterima (anti-slippage).

Setelah itu, pengguna menyetor USDC atau USDT ke dalam kontrak, SERVICE_ROLE backend proyek memantau permintaan, menggunakan oracle Pyth untuk memeriksa nilai aset yang disetorkan, kemudian memanggil fungsi completeMint atau completeSwap untuk menentukan jumlah USR yang benar-benar dicetak.

Masalahnya adalah, kontrak pencetakan sepenuhnya mempercayai _mintAmount yang diberikan oleh SERVICE_ROLE, menganggap bahwa angka tersebut telah diverifikasi oleh Pyth di luar blockchain, sehingga tidak mengatur batas atas, juga tidak ada verifikasi oracle di blockchain, langsung mengeksekusi mint(_mintAmount).

Berdasarkan hal ini, YAM mencurigai bahwa peretas mengontrol SERVICE_ROLE yang seharusnya dikendalikan oleh tim proyek (mungkin karena oracle internal kehilangan kontrol, penggelapan, atau kunci dicuri), dan saat pencetakan langsung mengatur _mintAmount menjadi 50 juta, mewujudkan peristiwa serangan dengan menggunakan 100 ribu USDC untuk mencetak 50 juta USR.

Pada akhirnya, kesimpulan yang diberikan oleh Grok adalah, Resolv dalam merancang protokol tidak mempertimbangkan kemungkinan bahwa alamat (atau kontrak) yang digunakan untuk menerima permintaan pencetakan pengguna dapat dikendalikan oleh peretas, sehingga ketika permintaan pencetakan USR dikirim ke kontrak yang terakhir mencetak USR, tidak ada batas maksimum jumlah pencetakan yang diatur, dan kontrak pencetakan tidak melakukan verifikasi kedua dengan oracle di blockchain, langsung mempercayai semua parameter yang diberikan oleh SERVICE_ROLE.

Pencegahan juga tidak memadai.

Selain berspekulasi tentang alasan dibalik peretasan, YAM juga menunjukkan bahwa tim proyek kurang siap dalam menghadapi krisis.

YAM menyatakan di X bahwa Resolv Labs baru menghentikan protokol 3 jam setelah serangan pertama selesai, di mana sekitar 1 jam dari keterlambatan tersebut disebabkan oleh kebutuhan untuk mengumpulkan 4 tanda tangan dari transaksi multi-signature. YAM berpendapat bahwa penghentian darurat seharusnya hanya memerlukan satu tanda tangan, dan hak akses sebaiknya dibagikan kepada anggota tim, atau operator eksternal yang dapat dipercaya, sehingga dapat meningkatkan perhatian terhadap situasi abnormal di blockchain, meningkatkan kemungkinan untuk menghentikan dengan cepat, dan lebih baik mencakup berbagai zona waktu.

Meskipun saran bahwa hanya satu tanda tangan yang diperlukan untuk menghentikan protokol agak radikal, kenyataan bahwa banyak tanda tangan dari berbagai zona waktu diperlukan untuk menghentikan protokol memang dapat menghambat tindakan penting ketika situasi darurat terjadi. Memperkenalkan pihak ketiga yang dapat dipercaya dan terus memantau perilaku di blockchain, atau menggunakan alat pemantauan yang memiliki hak akses untuk menghentikan protokol secara darurat, adalah 'pelajaran' yang diambil dari insiden ini.

Serangan peretas terhadap protokol DeFi sudah tidak terbatas pada kerentanan kontrak, kejadian Resolv Labs memberi peringatan kepada proyek bahwa asumsi mengenai keamanan protokol tidak boleh mempercayai salah satu bagiannya, semua aspek yang melibatkan parameter harus divalidasi setidaknya dua kali, bahkan backend yang dioperasikan oleh tim proyek sendiri tidak terkecuali.