- Les attaquants ont exploité la logique de création pour générer 50 M de USR non garantis, multipliant 100 K de USDC en une sortie massive de jetons.
- Des échanges rapides vers USDC, USDT et ETH ont déclenché une vente massique, faisant chuter l'USR à 0,257 $ et brièvement jusqu'à 0,025 $.
- Resolv a suspendu le protocole, a confirmé la sécurité des collatéraux, tandis que les pertes s'élèvent à près de 25 millions de dollars et que les efforts de récupération se poursuivent.
Resolv Labs has confirmed un incident de sécurité dimanche après que des attaquants aient émis 50 millions de jetons USR non garantis via une exploitation de contrat. Le problème a affecté le système d'émission du jeton, et non son pool de garantie. Selon l'équipe, les fonctions du protocole ont été immédiatement mises en pause tandis que des investigations et des efforts de récupération étaient lancés pour contenir la violation.
Exploite le mécanisme de création
L'attaque ciblait la logique de création de USR, permettant la création anormale de jetons. L'investigateur onchain Ai9684xtpa a rapporté que 100 000 USDC ont généré 50 millions de USR. Cela représente une amplification de 500 fois du résultat de création.
De plus, la société de sécurité PeckShield a déclaré que les attaquants ont créé 30 millions supplémentaires d'USR. Toutefois, Resolv Labs a noté que les garanties sous-jacentes restaient intactes. L'équipe a souligné qu'aucun actif du pool de garantie n'a été perdu lors de l'incident.
Entre-temps, D2 Finance a suggéré plusieurs causes possibles. Celles-ci incluent la manipulation d'oracle, une signature hors ligne compromise ou des vérifications de validation manquantes.
Vente rapide entraîne un décalage de parité
Après l'exploitation, les attaquants ont rapidement transféré des fonds entre protocoles. Selon D2 Finance, ils ont échangé l'USR contre USDC et l'USDT avant de convertir les actifs en Ether. Cette séquence a accéléré la pression à la vente sur les pools de liquidité.
Par conséquent, USR a perdu son peg au dollar en quelques minutes. Le token est tombé à 0,257 $, soit une baisse de 74,2 %. Dans certains pools, les prix sont descendus jusqu'à 2,5 cents en raison du slippage et de la pression sur la liquidité.
Notamment, USR a atteint ce point bas seulement 17 minutes après l'événement de création initial. Le pool Curve Finance, son marché le plus actif, a enregistré une activité de trading intense pendant cette période.
Efforts de récupération et impact sur le marché
Resolv Labs a déclaré que la containment et l'évaluation de l'impact restent les priorités principales. L'équipe vise également à protéger les utilisateurs légitimes tout en examinant les vulnérabilités du système. Les opérations du protocole restent suspendues pendant que les enquêtes se poursuivent.
Dans le même temps, USR a partiellement récupéré en prix. Il a récemment échangé près de 0,86 $, toujours en dessous de son parité prévue de 1 $. D2 Finance a estimé que les attaquants avaient extrait environ 25 millions de dollars pendant l'incident. Cet événement suit une baisse des crypto exploits au début de février. Toutefois, cet incident démontre les risques persistants liés aux vulnérabilités des contrats intelligents.