Автор: Эрик, Foresight News
Сегодня в Пекине около 10:21, Resolv Labs, выпустившие стабильную монету USR, подверглись хакерской атаке. Адрес, начинающийся на 0x04A2, использовал 100,000 USDC для создания 50,000,000 USR из протокола Resolv Labs.
С появлением новостей об инциденте, USR упал до уровня около 0.25 долларов США, а к моменту написания статьи восстановился до около 0.8 долларов США. Цены на токены RESOLV также временно упали почти на 10%.
Позже хакеры повторили сценарий, снова используя 100,000 USDC для создания 30,000,000 USR. С резким обесцениванием USR, арбитражные трейдеры также быстро отреагировали, многие кредитные рынки на Morpho, поддерживающие USR, wstUSR и другие в качестве залога, были почти полностью опустошены, а Lista DAO на BNB Chain приостановила новые кредитные заявки.
Пострадавшими являются не только эти кредитные протоколы. В дизайне протокола Resolv Labs пользователи также могут создавать токены RLP, которые более подвержены колебаниям цен, но приносят более высокую прибыль, и за которые они несут ответственность в случае убытков протокола. В настоящее время в обращении находится почти 30,000,000 RLP, а крупнейший держатель Stream Finance владеет более 13,000,000 RLP, с чистым рисковым экспозицией около 17,000,000 долларов.
Да, Stream Finance, который уже пострадал от xUSD, может снова оказаться под ударом.
На момент написания статьи хакеры уже конвертировали USR в USDC и USDT и продолжают покупать эфир, на данный момент они уже купили более 10,000 единиц. Используя 200,000 USDC, они получили более 20,000,000 долларов активов, и хакеры нашли 'свою сотую монету' в условиях медвежьего рынка.
Снова из-за 'недостаточной строгости' была найдена лазейка
Обвал 11 октября прошлого года привел к тому, что многие стабильные монеты, выпущенные с использованием нейтральной стратегии Delta, понесли убытки из-за ADL (автоматического снижения кредитного плеча). Некоторые проекты, использующие альткоины в качестве активов для реализации стратегии, понесли более серьезные убытки или даже обанкротились.
На этот раз под удар попали Resolv Labs, которые также выпустили USR, используя аналогичный механизм. Проект объявил о завершении раунда посевного финансирования в 10 миллионов долларов, который был возглавлен Cyber.Fund и Maven11 с участием Coinbase Ventures в апреле 2025 года, и токен RESOLV был запущен в конце мая - начале июня.
Однако причиной атаки на Resolv Labs не были экстремальные рыночные условия, а недостаточная строгость в дизайне механизма создания USR.
На данный момент ни одна из компаний по безопасности или официальных лиц не провела анализ причин этого хакерского инцидента. Сообщество DeFi YAM предварительно пришло к выводу, что атака, вероятно, произошла из-за того, что SERVICE_ROLE, используемая для предоставления параметров контракту создания, была взломана.
Согласно анализу Grok, пользователи инициируют запрос на создание USR в блокчейне и вызывают функцию requestMint контракта, параметры которой включают:
_depositTokenAddress: адрес токена для депозита;
_amount: сумма депозита;
_minMintAmount: минимально ожидаемое количество USR (для предотвращения проскальзывания).
После этого пользователи вносят USDC или USDT в контракт, бэкенд проекта SERVICE_ROLE отслеживает запросы, используя оракул Pyth для проверки стоимости внесенных активов, затем вызывается функция completeMint или completeSwap, чтобы определить фактическое количество созданных USR.
Проблема заключалась в том, что контракт на создание полностью доверял _mintAmount, предоставленному SERVICE_ROLE, полагая, что это число проверено вне сети Pyth, поэтому не было установлено ограничений, и не было проверки оракула в сети, что привело к непосредственному выполнению mint(_mintAmount).
В связи с этим YAM подозревает, что хакеры контролировали SERVICE_ROLE, которая должна была контролироваться проектом (возможно, из-за внутреннего сбоя оракула, кражи со стороны сотрудников или кражи ключей), и при создании напрямую установили _mintAmount на 50,000,000, что привело к атаке, при которой за 100,000 USDC было создано 50,000,000 USR.
В конечном итоге вывод Grok заключается в том, что Resolv не учел возможность контроля адреса (или контракта), который принимает запросы на создание от пользователей (или контракта) хакерами, и при подаче запроса на создание USR в контракт, который в конечном итоге создает USR, не было установлено максимальное количество создания, и контракт на создание не использовал оракул в сети для второй проверки, что привело к прямому доверию ко всем параметрам, предоставленным SERVICE_ROLE.
Профилактика также была недостаточной
Помимо предположений о причинах взлома, YAM также указал на недостаточную готовность проекта к кризису.
YAM в X заявил, что Resolv Labs приостановил протокол только через 3 часа после первой атаки хакеров, из которых около 1 часа задержки было вызвано необходимостью собрать 4 подписи для многофакторной аутентификации. YAM считает, что экстренная приостановка должна требовать только одной подписи, и полномочия должны быть распределены между членами команды или надежными внешними операторами, чтобы увеличить внимание к аномальным ситуациям в сети и повысить вероятность быстрой паузы, а также лучше охватить разные часовые пояса.
Хотя предложение о приостановке протокола с одной подписью может показаться немного радикальным, необходимость в нескольких подписях из разных часовых поясов для приостановки протокола действительно может задержать важные решения в экстренных ситуациях. Введение надежной третьей стороны для постоянного мониторинга поведения в сети или использование инструментов мониторинга с правами экстренной приостановки протокола - это 'уроки из этого инцидента'.
Атаки хакеров на DeFi-протоколы давно уже не ограничиваются уязвимостями контрактов. Инцидент с Resolv Labs предупреждает проекты о том, что их предположения о безопасности протокола не должны полагаться ни на один из компонентов; все параметры должны проходить как минимум двойную проверку, включая бэкенд, управляемый самим проектом.