- Atacantes exploraram credenciais para obter acesso de assinatura, cunhando 80M USR e retirando rapidamente $25M em ETH.
- A violação envolveu o GitHub, sistemas em nuvem e chaves API, expondo múltiplas fraquezas na infraestrutura.
- Resolv revogou o acesso, queimou tokens e iniciou a recuperação, enquanto as investigações e atualizações do sistema continuam.
Um ataque coordenado attack atingiu a infraestrutura da Resolv em 22 de março de 2026, levando à cunhagem de 80 milhões de USR e à extração de $25 milhões em ETH. A violação envolveu acesso não autorizado a sistemas de assinatura e se desenrolou em múltiplas camadas. A equipe posteriormente confirmou contenção, revogação de credenciais e recuperação parcial, enquanto as investigações continuam.
Cadeia de ataque explorou fraquezas na infraestrutura
De acordo com Resolv, os atacantes inicialmente ganharam acesso por meio de um projeto de terceiros comprometido vinculado a uma conta de contratado. Essa violação inicial expôs credenciais do GitHub, permitindo o acesso aos repositórios internos.
No entanto, salvaguardas de produção bloquearam a implantação direta do código, forçando os atacantes a mudar de tática. Eles implantaram em vez disso um fluxo de trabalho malicioso para extrair credenciais sensíveis silenciosamente.
Em seguida, os atacantes entraram nos sistemas de nuvem, onde mapearam a infraestrutura e alvejaram chaves API. Eventualmente, eles aumentaram os privilégios modificando políticas de acesso vinculadas a uma chave de assinatura. Este passo lhes concedeu autoridade para aprovar operações de cunhagem.
Cunhagem não autorizada acionou conversão rápida de ativos
Com o controle de assinatura garantido, os atacantes executaram a primeira transação às 02:21 UTC, cunhando 50 milhões de USR. Pouco depois, começaram a trocar tokens por ETH usando várias carteiras e exchanges descentralizadas.
Às 03:41 UTC, uma segunda transação cunhou mais 30 milhões de USR. No total, os atacantes converteram ativos durante aproximadamente 80 minutos, retirando cerca de $25 milhões.
Notavelmente, os sistemas de monitoramento sinalizaram atividade incomum precocemente. Esse alerta iniciou uma resposta que incluiu a interrupção dos serviços de backend e a preparação de pausas de contrato.
Ações de contenção e esforços de recuperação em andamento
A Resolv confirmou que revogou as credenciais comprometidas até às 05:30 UTC, cortando o acesso do atacante. Além disso, a equipe pausou os contratos inteligentes relevantes e desligou a infraestrutura afetada.
Após o contencimento, o protocolo neutralizou aproximadamente 46 milhões de USR por meio de queimas de tokens e controles de lista negra. Enquanto isso, os titulares de USR pré-hack estão recebendo compensação total, com a maioria dos resgates já processados.
Empresas externas, incluindo Hypernative, Hexens, MixBytes e SEAL 911, juntaram-se à investigação. Análises adicionais envolvem Mandiant e ZeroShadow, com foco na segurança da infraestrutura e no rastreamento de fundos.
Resolv afirmou que as operações permanecem pausadas enquanto a análise forense e as atualizações do sistema continuam.