De USR-stablecoin van Resolv verloor zijn dollar-koppeling en crasht 72% naar $0,27 nadat een aanvaller een fout in het mintingcontract van het protocol uitbuitte om ongeveer 80 miljoen ongedekte tokens te creëren en circa $25 miljoen aan Ether (ETH) te onttrekken, waardoor het project in de praktijk insolvent werd met $95 miljoen aan activa tegenover $173 miljoen aan verplichtingen.
Exploit van het mintingcontract
De aanval vond plaats rond 2:21 uur UTC op zondag, toen de aanvaller volgens meerdere blockchainbeveiligingsbedrijven en on-chain data via twee transacties ongeveer 80 miljoen USR-tokens mintte zonder voldoende dekking.
De aanvaller ruilde de geminte USR vervolgens om voor USDC (USDC) en USDT (USDT) op gedecentraliseerde beurzen, converteerde de opbrengst naar ETH en bezit nu 11.409 ETH ter waarde van ongeveer $23,7 miljoen plus $1,1 miljoen in wrapped USR in een aparte wallet.
USR, een aan de dollar gekoppelde stablecoin die steunt op een delta-neutrale hedgestrategie gedekt door ETH en Bitcoin (BTC), daalde tot $0,025 in zijn meest liquide Curve Finance-pool binnen 17 minuten na de eerste mint.
Later herstelde de koers tot rond $0,85, maar de koppeling is nog niet volledig hersteld.
Ook lezen: Trump's 48-Hour Iran Warning: What It Did To BTC, ETH And XRP
Structurele ontwerpfouten
On-chain analisten ontdekten dat de onderliggende oorzaak verder ging dan wat Resolv aanvankelijk omschreef als een „gekompromitteerde privésleutel” en „gerichte inbreuk op de infrastructuur”.
De SERVICE_ROLE, een bevoorrecht account dat swapverzoeken in het mintingcontract afhandelt, werd beheerd door één extern eigen account in plaats van een multisig. Het contract had geen oracle-controles, geen validatie van bedragen en geen maximale mintlimieten — waardoor de aanvaller 100.000 USDC kon storten en 50 miljoen USR terugkreeg, ongeveer 500 keer het verwachte bedrag.
Vooruitzichten op herstel
Gegevens van DeFiLlama tonen dat de total value locked van Resolv een piek bereikte rond $684 miljoen in februari 2025, voordat deze daalde naar ongeveer $95 miljoen vlak voor de exploit.
Resolv zei samen te werken met wetshandhavingsinstanties en on-chain analysebedrijven en „alle beschikbare mogelijkheden te zullen benutten om activa terug te halen”. Het team adviseerde dringend om niet in USR te handelen zolang herstelmaatregelen worden uitgevoerd, en voegde eraan toe dat „acties van gebruikers in de periode na de exploit het herstel kunnen beïnvloeden.”
Lees hierna: Bitcoin's S&P 500 Correlation Just Flashed A Crash Warning