Judul Asli: DeFi Telah Melihat Eksploitasi $25M USR dari Resolv Banyak Kali Sebelumnya

Penulis Asli: Camila Russo

Sumber Asli: https://thedefiant.io/news/hacks/defi-has-seen-resolv-s-usd25m-usr-exploit-many-times-before

Reproduksi: Mars Finance

Pada suatu pagi yang tenang di hari Minggu, seseorang mengubah 100.000 dolar menjadi 25 juta dolar dalam waktu sekitar 17 menit.

Tujuannya adalah protokol stablecoin berbasis imbal hasil Resolv. Sebelum Resolv menghentikan kontraknya, stablecoin USR yang terikat dengan dolar telah jatuh menjadi beberapa sen. Hingga penulisan ini, USR masih sangat terlepas, dengan harga perdagangan sekitar 0,25 dolar, dan telah turun lebih dari 70% minggu ini.

Guncangan jauh lebih dari sekadar Resolv itu sendiri. Fluid/Instadapp menyerap lebih dari 10 juta dolar piutang buruk dalam sehari, pada hari yang sama mengalami keluaran bersih lebih dari 300 juta dolar, menciptakan rekor keluaran bersih terbesar dalam sejarahnya. 15 gudang Morpho terpengaruh. Euler, Venus, Lista DAO, dan Inverse Finance berturut-turut menangguhkan pasar terkait USR.

Mekanisme yang menyebabkan penyebaran kerugian dari kerentanan ini—mematok stablecoin yang terlepas pada 1 dolar di pasar pinjaman—bukanlah hal baru. Dalam 14 bulan terakhir, situasi ini telah terjadi setidaknya empat kali.

Bagaimana kerentanan ini bekerja

Pencetakan USR mengikuti proses dua langkah di luar rantai: pengguna menyetor USDC melalui fungsi `requestSwap`, kemudian kunci tanda tangan di luar rantai yang memiliki hak khusus `SERVICE_ROLE` menyelesaikan jumlah USR yang diterbitkan melalui `completeSwap`.

Kontrak memiliki batas output minimum, tetapi tidak ada batas maksimum. Apa yang ditandatangani pemegang kunci, itulah yang dieksekusi oleh kontrak.

Penyerang mendapatkan akses ke kunci tersebut melalui layanan manajemen kunci AWS Resolv. Mereka menyetor dua deposit USDC, total sekitar 100.000 hingga 200.000 dolar, kemudian menggunakan kunci yang dicuri untuk mengotorisasi pencetakan 80 juta USR sebagai imbalan. Data on-chain menunjukkan dua transaksi masing-masing adalah 50 juta USR dan 30 juta USR, keduanya diselesaikan dalam beberapa menit.

"Kerentanan Resolv USR bukanlah bug—tetapi merupakan fungsi yang beroperasi normal menurut desain. Itulah masalahnya." kata analis on-chain Vadim (@zacodil).

SERVICE_ROLE adalah alamat akun eksternal biasa, bukan multi-sign. Kunci administrator dilindungi multi-sign, tetapi kunci pencetakan tidak.

"Resolv telah menjalani 18 audit," kata Vadim, "salah satu penemuan diberi nama langsung 'Kekurangan batas atas'."

Penyerang dengan teratur keluar: pertama mengonversi USR yang dicetak menjadi wstUSR (versi terbungkus yang dipertaruhkan) untuk memperlambat guncangan pasar, lalu menukarkannya menjadi ETH melalui Curve, Uniswap, dan KyberSwap. Dompet penyerang memegang sekitar 11.400 ETH (sekitar 24 juta dolar). Kolam jaminan ETH dan BTC yang mendukung seluruh sistem tetap utuh saat stablecoin runtuh.

Bagaimana infeksi menyebar

Kerentanan Resolv sebenarnya merupakan penggabungan dua peristiwa. Yang pertama adalah kerentanan pencetakan, yang kedua adalah kegagalan pasar pinjaman berantai.

Ketika USR dan wstUSR mengalami kejatuhan, setiap pasar pinjaman yang menerima mereka sebagai jaminan menghadapi masalah yang sama: oracle mereka masih mematok harga wstUSR mendekati 1 dolar.

Pendiri lembaga analisis risiko Chaos Labs Omer Goldberg mencatat mekanisme ini. Temuan intinya adalah: "Oracle di-hardcode, sehingga tidak pernah dipatok ulang. wstUSR ditandai 1,13 dolar, sementara harga perdagangan di pasar sekunder sekitar 0,63 dolar."

Pedagang membeli wstUSR dengan harga rendah di pasar terbuka, lalu menggunakannya sebagai jaminan di Morpho atau Fluid dengan harga oracle 1,13 dolar, meminjam USDC, dan kemudian keluar.

Di Fluid, tim mengumpulkan pinjaman jangka pendek untuk menutupi 100% dari piutang buruk, dan berjanji untuk memberikan setiap pengguna kompensasi penuh. Di Morpho, salah satu pendiri Paul Frambot mengatakan bahwa sekitar 15 gudang memiliki eksposur besar, semuanya berada dalam strategi jaminan berisiko tinggi dan ekor panjang.

Kurator terkenal Gauntlet menyatakan, "Eksposur beberapa gudang berisiko tinggi terbatas."

Namun D2 Finance langsung membantah pernyataan ini, merilis data on-chain yang menunjukkan bahwa gudang utama Gauntlet 'USDC Core' mengalokasikan 4,95 juta dolar ke pasar wstUSR/USDC. Goldberg kemudian menyatakan bahwa gudang Gauntlet menguasai 98% likuiditas pemberi pinjaman di pasar tersebut.

Frambot dalam balasan tertulis kepada The Defiant menyatakan: "Kami terus meneliti bagaimana cara menyajikan berbagai risiko dengan lebih komprehensif. Namun, kami tidak percaya bahwa masalah inti di sini adalah kurangnya penandaan."

Frambot menambahkan: "Morpho tidak tergantung pada oracle, yang berarti ia memungkinkan kurator untuk memilih oracle mana yang mereka anggap paling sesuai untuk pasar tertentu. Morpho adalah infrastruktur terbuka dan tanpa izin, yang dirancang untuk mengalihkan manajemen risiko kepada kurator."

"Sulit untuk menerapkan batasan yang 'benar' secara objektif di semua skenario," kata Frambot, "Menerapkan batasan di tingkat protokol juga memiliki risiko menghalangi pelaksanaan strategi yang sah."

Meskipun protokol dasar menyerahkan manajemen risiko kepada kurator, beberapa orang di industri berpendapat bahwa kurator tidak menjalankan tanggung jawab mereka.

"Saya percaya ada cacat desain dalam industri kurator karena tidak ada kurasi yang benar-benar terjadi." kata Marc Zeller di X.

Hingga berita ini ditulis, Resolv, Gauntlet, dan Fluid belum memberikan tanggapan atas permintaan komentar dari The Defiant.

Sebuah pola kegagalan yang berulang

Ini bukan serangan baru. Pada Januari 2025, USD0++ dari Protokol Usual di-hardcode oleh kurator MEV Capital di gudang Morpho menjadi 1 dolar.

Usual tiba-tiba mengubah harga dasar penebusan menjadi 0,87 dolar tanpa peringatan, menyebabkan pemberi pinjaman terjebak di dalam gudang MEV Capital, yang tingkat penggunaannya melonjak hingga 100%.

Pada November 2025, xUSD dari Stream Finance runtuh, sebelumnya kurator telah mengalihkan deposit USDC ke dalam siklus leverage yang didukung oleh stablecoin sintetis tersebut, ketika oracle mereka menolak untuk memperbarui, diperkirakan 285 juta hingga 700 juta dolar aset di Morpho, Euler, dan Silo menghadapi risiko.

Moonwell mengalami dua kali kegagalan oracle berturut-turut pada Oktober dan November 2025, menghasilkan lebih dari 5 juta dolar piutang.

Apa artinya ini bagi model kurator

Arsitektur Morpho mengalihkan semua keputusan risiko kepada pihak ketiga 'kurator', yang membangun gudang, memilih jaminan, menetapkan rasio nilai pinjaman dan memilih oracle. Teori ini beranggapan bahwa lembaga profesional memiliki pengetahuan yang lebih mendalam, persaingan dapat menghasilkan manajemen risiko yang lebih baik, dan protokol bertanggung jawab untuk menegakkan aturan.

Namun kurator bergantung pada penghasilan yang dihasilkan untuk mendapatkan biaya, yang menciptakan insentif untuk menerima jaminan yang lebih berisiko dan lebih menguntungkan (seperti stablecoin berbasis hasil). Masalahnya adalah, ketika stablecoin ini terlepas, kerugian ditanggung oleh deposan, bukan kurator.

Dalam peristiwa Resolv, beberapa robot otomatis kurator terus menyuntikkan dana ke gudang yang terkena dampak dalam beberapa jam setelah kerentanan terjadi, memperburuk kerugian.

Alasan penggunaan oracle yang di-hardcode untuk stablecoin berbasis hasil adalah untuk mencegah fluktuasi jangka pendek memicu likuidasi yang tidak perlu. Namun, perlindungan ini hanya efektif jika stablecoin tetap stabil.

Lembaga analisis on-chain Chainalysis dalam tinjauan pasca kejadian menyatakan perlunya kemampuan deteksi on-chain secara real-time.

"Kontrak smart contract on-chain berjalan dengan baik. Masalah jelas terletak pada desain sistem yang lebih luas dan infrastruktur di luar rantai." kata lembaga analisis tersebut.