Stablecoin USR của Resolv đã mất neo với đồng đô la và sụt 72% xuống còn 0,27 USD sau khi một kẻ tấn công khai thác lỗ hổng trong hợp đồng mint của giao thức để tạo ra khoảng 80 triệu token không được bảo chứng và rút khoảng 25 triệu USD bằng Ether (ETH), khiến dự án gần như mất khả năng thanh toán với 95 triệu USD tài sản so với 173 triệu USD nợ phải trả.
Khai thác hợp đồng mint
Cuộc tấn công xảy ra vào khoảng 2:21 sáng UTC Chủ nhật, khi kẻ tấn công sử dụng hai giao dịch để mint khoảng 80 triệu token USR mà không có tài sản bảo chứng phù hợp, theo các công ty bảo mật blockchain và dữ liệu on-chain.
Sau đó, kẻ tấn công hoán đổi số USR vừa mint lấy USDC (USDC) và USDT (USDT) trên các sàn phi tập trung, chuyển đổi số tiền thu được sang ETH, và hiện nắm giữ 11.409 ETH trị giá khoảng 23,7 triệu USD cùng 1,1 triệu USD USR bọc trong một ví riêng biệt.
USR, một stablecoin neo theo đô la dựa vào chiến lược phòng hộ delta-neutral được bảo chứng bằng ETH và Bitcoin (BTC), đã giảm xuống 0,025 USD trên pool thanh khoản cao nhất của Curve Finance chỉ trong vòng 17 phút kể từ lần mint đầu tiên.
Sau đó giá phục hồi lên khoảng 0,85 USD nhưng vẫn chưa lấy lại được mốc 1 USD.
Đọc thêm: Trump's 48-Hour Iran Warning: What It Did To BTC, ETH And XRP
Thất bại trong thiết kế cấu trúc
Các nhà phân tích on-chain phát hiện nguyên nhân gốc rễ vượt xa mô tả ban đầu của Resolv về một “khóa riêng bị xâm phạm” và “tấn công có chủ đích vào hạ tầng”.
SERVICE_ROLE, tài khoản đặc quyền dùng để hoàn tất các yêu cầu hoán đổi trong hợp đồng mint, lại được kiểm soát bởi một tài khoản sở hữu bên ngoài đơn lẻ thay vì multisig. Hợp đồng không có kiểm tra oracle, không xác thực số lượng và không có giới hạn mint tối đa — cho phép kẻ tấn công nạp 100.000 USDC và nhận 50 triệu USR, cao gấp khoảng 500 lần so với mức dự kiến.
Khả năng phục hồi
Dữ liệu từ DeFiLlama cho thấy tổng giá trị khóa (TVL) của Resolv đạt đỉnh gần 684 triệu USD vào tháng 2/2025 trước khi giảm xuống khoảng 95 triệu USD ngay trước vụ tấn công.
Resolv cho biết đang phối hợp với cơ quan thực thi pháp luật và các công ty phân tích on-chain, đồng thời sẽ “theo đuổi mọi hướng có thể để thu hồi tài sản”. Đội ngũ mạnh mẽ khuyến cáo không nên giao dịch USR trong khi các biện pháp khắc phục đang được triển khai, đồng thời nhấn mạnh rằng “hành động của người dùng trong giai đoạn sau khai thác có thể ảnh hưởng đến khả năng phục hồi tài sản.”
Đọc tiếp: Bitcoin's S&P 500 Correlation Just Flashed A Crash Warning