- Penyerang memanfaatkan kredensial untuk mendapatkan akses penandatanganan, mencetak 80M USR dan menarik $25M dalam ETH dengan cepat.
- Pelanggaran melibatkan GitHub, sistem cloud, dan kunci API, yang mengekspos beberapa kelemahan infrastruktur.
- Resolv mencabut akses, membakar token, dan memulai pemulihan, sementara penyelidikan dan peningkatan sistem berlanjut.
Serangan terkoordinasi attack menargetkan infrastruktur Resolv pada 22 Maret 2026, menyebabkan pencetakan 80 juta USR dan ekstraksi $25 juta dalam ETH. Pelanggaran tersebut melibatkan akses tidak sah ke sistem penandatanganan dan terjadi di beberapa lapisan. Tim kemudian mengonfirmasi bahwa serangan telah dikendalikan, kredensial telah dicabut, dan sebagian pemulihan telah dilakukan sementara penyelidikan terus berlanjut.
Rantai Serangan Mengeksploitasi Kelemahan Infrastruktur
Menurut Resolv, penyerang pertama kali mendapatkan akses melalui proyek pihak ketiga yang dikompromikan yang terkait dengan akun kontraktor. Pelanggaran awal ini mengekspos kredensial GitHub, yang memungkinkan masuk ke repositori internal.
Namun, langkah-langkah keamanan produksi menghalangi penyebaran kode secara langsung, memaksa penyerang untuk mengubah taktik. Mereka malah menyebarkan alur kerja jahat untuk mengekstraksi kredensial sensitif secara diam-diam.
Selanjutnya, para penyerang masuk ke sistem cloud, di mana mereka memetakan infrastruktur dan menargetkan kunci API. Pada akhirnya, mereka meningkatkan hak akses dengan memodifikasi kebijakan akses yang terkait dengan kunci penandatanganan. Langkah ini memberi mereka wewenang untuk menyetujui operasi pencetakan.
Pencetakan Tidak Sah Memicu Konversi Aset Cepat
Dengan kontrol penandatanganan diamankan, penyerang menjalankan transaksi pertama pada pukul 02:21 UTC, mencetak 50 juta USR. Tak lama setelah itu, mereka mulai menukar token menjadi ETH menggunakan beberapa dompet dan bursa terdesentralisasi.
Pada pukul 03:41 UTC, transaksi kedua mencetak 30 juta USR tambahan. Secara total, para penyerang mengonversi aset selama sekitar 80 menit, mengekstraksi sekitar $25 juta.
Secara signifikan, sistem pemantauan menandai aktivitas tidak biasa sejak dini. Peringatan ini memicu respons yang mencakup penghentian layanan backend dan persiapan penangguhan kontrak.
Tindakan penahanan dan upaya pemulihan sedang berlangsung
Resolv mengonfirmasi bahwa mereka mencabut kredensial yang dikompromikan pada pukul 05:30 UTC, memutus akses penyerang. Selain itu, tim menjeda kontrak pintar yang relevan dan shut down infrastruktur yang terdampak.
Setelah penahanan, protokol menetralisir sekitar 46 juta USR melalui pembakaran token dan kontrol daftar hitam. Sementara itu, pemegang USR sebelum peretasan menerima kompensasi penuh, dengan sebagian besar klaim sudah diproses.
Perusahaan eksternal, termasuk Hypernative, Hexens, MixBytes, dan SEAL 911, bergabung dalam investigasi. Tinjauan lebih lanjut melibatkan Mandiant dan ZeroShadow, dengan fokus pada keamanan infrastruktur dan pelacakan dana.
Resolv menyatakan bahwa operasi tetap dihentikan sambil terus melakukan analisis forensik dan pembaruan sistem.