Lo stablecoin USR di Resolv ha perso l’ancoraggio al dollaro ed è crollato del 72% a 0,27 $ dopo che un attaccante ha sfruttato una vulnerabilità nel contratto di minting del protocollo per creare circa 80 milioni di token privi di copertura ed estrarre approssimativamente 25 milioni di dollari in Ether (ETH), lasciando il progetto di fatto insolvente con 95 milioni di dollari di asset contro 173 milioni di dollari di passività.
Exploit del contratto di minting
L’attacco è avvenuto intorno alle 2:21 UTC di domenica, quando l’exploiter ha utilizzato due transazioni per coniare circa 80 milioni di token USR senza adeguata copertura, secondo diverse società di sicurezza blockchain e i dati on‑chain.
L’attaccante ha poi scambiato gli USR coniati con USDC (USDC) e USDT (USDT) su exchange decentralizzati, ha convertito il ricavato in ETH e ora detiene 11.409 ETH per un valore di circa 23,7 milioni di dollari più 1,1 milioni di dollari in USR “wrapped” in un portafoglio separato.
USR, uno stablecoin ancorato al dollaro che si basa su una strategia di copertura delta‑neutral supportata da ETH e Bitcoin (BTC), è sceso fino a 0,025 $ nel suo pool più liquido su Curve Finance entro 17 minuti dal primo mint.
Successivamente è risalito a circa 0,85 $, ma non ha ripristinato l’ancoraggio.
Da leggere anche: Trump's 48-Hour Iran Warning: What It Did To BTC, ETH And XRP
Errori strutturali di progettazione
Gli analisti on‑chain hanno rilevato che la causa di fondo andava oltre quanto Resolv aveva inizialmente descritto come una «chiave privata compromessa» e un «compromesso mirato dell’infrastruttura».
Il SERVICE_ROLE, un account con privilegi che completa le richieste di swap nel contratto di minting, era controllato da un singolo account esternamente posseduto invece che da un multisig. Il contratto non aveva controlli di oracle, nessuna validazione degli importi e nessun limite massimo di mint, il che ha consentito all’attaccante di depositare 100.000 USDC e ricevere 50 milioni di USR in cambio, circa 500 volte l’importo previsto.
Prospettive di recupero
I dati di DeFiLlama mostrano che il valore totale bloccato di Resolv ha raggiunto un picco vicino a 684 milioni di dollari nel febbraio 2025 prima di scendere a circa 95 milioni di dollari prima dell’exploit.
Resolv ha dichiarato di stare collaborando con le forze dell’ordine e con società di analisi on‑chain e che «perseguirà tutte le strade disponibili per recuperare gli asset». Il team ha fortemente sconsigliato di fare trading di USR mentre vengono implementate le misure di recupero, aggiungendo che «le azioni degli utenti nel periodo post‑exploit potrebbero influire sul recupero».
Successivo da leggere: Bitcoin's S&P 500 Correlation Just Flashed A Crash Warning