Resolv Protocol hackeado: $80 milhões em USR cunhados com $100 mil, $25 milhões roubados

Autor original: Bocai Bocai (X: @bocaibocai_)

Técnica de ataque: O atacante utilizou apenas cerca de US$ 100.000 em USDC, explorando uma vulnerabilidade crítica na função de cunhagem do USR — possivelmente devido à manipulação do oráculo, exposição da chave do assinante off-chain ou ausência de verificação de valor entre a solicitação e a execução da cunhagem — para cunhar arbitrariamente 80 milhões de USR (valor aproximado de US$ 80 milhões), que foram rapidamente trocados por ativos reais.

Caminho de arbitragem: o atacante vendeu gradualmente os USR fraudulentamente cunhados em pools de liquidez como o Curve Finance, fazendo o preço do USR cair até 2,5 centavos de dólar; durante o caos de desancoragem, foram resgatados aproximadamente 25 milhões de dólares, após os quais os lucros da arbitragem foram convertidos em ETH para conclusão da lavagem.

Distribuição de perdas: De acordo com a lógica de design da arquitetura de risco em duas camadas da Resolv, o déficit de garantia causado por este ataque é inicialmente suportado pelos detentores do pool de seguro RLP (o preço do RLP cairá junto com o valor líquido dos ativos do protocolo), enquanto os detentores de USR são teoricamente protegidos até a suspensão do resgate do protocolo; no entanto, posições de alavancagem Looping de USR em protocolos de empréstimo como Morpho sofreram liquidações forçadas devido ao desancoramento, causando perdas secundárias.

Acordos associados: Os principais protocolos DeFi afetados incluem: Curve Finance (o pool de liquidez USR/USDC entrou em colapso instantaneamente), Morpho (posições alavancadas com USR como garantia desencadearam liquidação), Fluid e Euler (ambos apresentam posições cíclicas USR/RLP).

Aviso setorial: Este evento revelou uma fraqueza fundamental dos stablecoins de neutralidade Delta — o ponto de acoplamento entre a lógica de cunhagem e a assinatura off-chain/oráculo é a superfície de ataque mais vulnerável do sistema; qualquer design de eficiência de capital do tipo "1 moeda cunhada = 1 moeda" deve ter como pré-requisito uma auditoria de segurança contratual extremamente rigorosa.

Antes de discutir o ataque, devemos primeiro entender como o USR funciona — pois os atacantes exploraram exatamente a parte mais sutil e mais vulnerável de seu design.

Mecanismo central do USR: moeda estável neutra em delta

USR não é uma stablecoin lastreada por depósitos bancários, como o USDT, nem uma stablecoin supercolateralizada, como o DAI. É uma stablecoin de neutralidade Delta — uma arquitetura que alcança neutralidade de risco líquido por meio de "posicionamento longo em ETH spot + posicionamento short em contrato perpetuo de ETH" [Nota 1].

A lógica é a seguinte:

Ao depositar 1 dólar em ETH para cunhar 1 USR, o protocolo Resolv abre simultaneamente uma posição curta equivalente em ETH no mercado de contratos perpetuos. Se o ETH subir, você lucra no spot e perde no contrato; se o ETH cair, você lucra no contrato e perde no spot — os dois se cancelam, mantendo o patrimônio líquido sempre aproximadamente igual a 1 dólar. Isso desvincula o USR do preço do ETH, enquanto mantém o vínculo de 1:1 com o dólar [nota 2].

A vantagem desta arquitetura é uma eficiência de capital extremamente alta: você precisa apenas de 1 dólar em ETH para cunhar 1 USR, sem necessidade de colateralização excessiva. As fontes de rendimento são as taxas de financiamento das posições de hedge (taxas pagas pelos compradores aos vendedores) e os rendimentos do staking de ETH, permitindo que os detentores de USR obtenham aproximadamente 5-6% de rendimento anualizado; a versão staked, stUSR, oferece taxas ainda mais altas [nota 3].

Arquitetura em duas camadas: isolamento de risco entre USR e RLP

Para resolver a questão de "quem arca com o risco operacional do protocolo", foi projetada uma estrutura de dois tokens:

Camada USR (prioridade alta): os titulares desfrutam de proteção de ancoragem estável, e os prejuízos não são suportados por eles;

Camada RLP (camada subordinada): Os detentores de RLP atuam como um "fundo de seguro" para o protocolo, assumindo riscos de mercado, risco de contraparte (como taxas de financiamento continuamente negativas) e riscos contratuais potenciais, em troca de retornos mais altos (20-40% ao ano) [Nota 4].

As regras são claras: qualquer perda primeiro deduzirá o RLP, depois o USR. Quando a taxa de colateralização do USR cair abaixo de 110%, o resgate do RLP será automaticamente congelado, priorizando a proteção dos detentores do USR [nota 5].

Esta é a premissa fundamental para entender a distribuição das perdas deste ataque.

Ponto de ataque: O que há de errado com a função de cunhagem?

Esta é atualmente a peça mais crítica e com as informações menos completas. Os dados na cadeia já confirmaram um fato: o atacante "comprou" USR no valor de 50 milhões de dólares com 100 mil dólares em USDC[1]. Essa proporção de cunhagem de 1:500 indica que a verificação do valor de cunhagem do contrato falhou completamente.

O fundo de criptomoedas D2 Finance apresentou três hipóteses de caminhos de ataque possíveis [nota 9]:

Hipótese A: O oráculo é manipulado (Oracle Manipulation). O preço de cunhagem do USR depende do oráculo de preços. Se um atacante conseguir temporariamente reduzir a cotação do oráculo em uma única transação (por exemplo, por meio de um flash loan para derrubar o preço), fazendo com que o contrato acredite que os ativos depositados pelo usuário têm um valor maior, será possível cunhar uma quantidade excedente de USR [Nota 6].

Hipótese B: Comprometimento da chave do assinador off-chain (Off-Chain Signer Compromise). O processo de cunhagem da Resolv inclui uma etapa de verificação de assinatura off-chain — os pedidos de cunhagem dos usuários precisam ser assinados pelo serviço de backend do protocolo para serem executados. Se essa chave de assinatura for roubada, o atacante pode falsificar instruções de cunhagem legítimas de qualquer valor, contornando todas as restrições on-chain [2].

Hipótese C: Falta de validação do valor entre a solicitação e a execução (Validation Gap). O processo de cunhagem é dividido em duas etapas: "solicitar" e "executar a cunhagem". Se o contrato não verificar rigorosamente, durante a execução, se o valor final executado corresponde ao valor solicitado, um atacante pode alterar os parâmetros após a solicitação e antes da execução, realizando uma cunhagem excessiva.

At the time of this report, the Resolv official team has not yet released a complete root cause analysis (RCA), so the priority of the three hypotheses above cannot be definitively confirmed.

Com base no efeito do ataque, a hipótese B (comprometimento da chave do assinante) ou a hipótese C (falta de lógica de validação) são mais prováveis — pois manipulação de oráculos geralmente exige grandes quantias de capital e é difícil de alcançar desvios de preço tão extremos; enquanto que, ao cunhar 80 milhões de USR, o atacante investiu uma quantia extremamente limitada, o que é mais consistente com o perfil de "burlar a verificação do contrato".

Como os atacantes realizam a conversão: um roteiro de fuga DeFi clássico

Após obter 80 milhões de USR, o desafio enfrentado pelo atacante é: como converter os stablecoins falsamente cunhados em valor real?

D2 Finance chama isso de "caminho de saída de hack DeFi de livro didático": o atacante enviou os USR em lotes para vários protocolos de liquidez, vendendo em grande escala primeiro no pool USR/USDC da Curve Finance (o maior pool de liquidez de USR, com volume diário de US$ 3,6 milhões) [Nota 10].

Como a liquidez do Curve é limitada, quando 80 milhões de USR entraram repentinamente, o pool foi completamente esgotado — o preço do USR caiu de US$ 1 para 2,5 centavos em 17 minutos. O atacante não esperava vender todos os USR a US$ 1, mas sim trocá-los gradualmente por USDC/USDT na faixa de US$ 0,25 a US$ 0,50, finalmente convertendo os lucros de arbitragem em ETH para lavá-los.

A PeckShield estima que o valor final sacado foi de aproximadamente 25 milhões de dólares [nota 11] — considerando as perdas por slippage causadas pela venda em grande volume de USR em faixas de preço muito baixas, esse número indica que a taxa real de retirada dos atacantes foi de cerca de 30% (25 milhões/80 milhões). Os outros 70% do "valor" desapareceram no enorme slippage causado pela esgotamento da liquidez.

A taxa de colateralização do USR caiu instantaneamente

Durante o funcionamento normal, o USR é respaldado 1:1 por ETH + posições de hedge. No entanto, após a cunhagem de 80 milhões de USR sem cobertura, os ativos reais correspondentes a todo o suprimento de USR são insuficientes para resgate 1:1 — a taxa de cobertura caiu drasticamente abaixo de 100%.

Isso acionou diretamente o mecanismo de proteção da camada RLP — o protocolo teoricamente congelaria os resgates RLP para priorizar a proteção dos detentores de USR. Mas, ao mesmo tempo, como o USR já está desancorado (negociado a cerca de 0,87 dólares no mercado secundário), os detentores de USR também enfrentam perdas ao vender ao preço de mercado.

Liquidação em cascata do protocolo de empréstimo

Este é um dos danos colaterais mais subestimados deste evento.

O crescimento do Resolv depende em grande parte de uma estratégia: os usuários depositam USR como garantia em protocolos de empréstimo como Morpho, Fluid e Euler, emprestam USDC e compram mais USR, criando um ciclo de alavancagem (Looping), com alguns usuários alcançando alavancagem de até 10 vezes [3].

Quando o preço do USR caiu bruscamente de US$ 1 para US$ 0,87 e abaixo, o valor da garantia dessas posições alavancadas evaporou imediatamente em mais de 13%. Como os protocolos de empréstimo realizam automaticamente o encerramento forçado quando a taxa de garantia cai abaixo da linha de liquidação, grandes quantidades de USR foram liquidadas por robôs, lançando ainda mais USR no mercado secundário e pressionando ainda mais o preço — formando uma pressão clássica de espiral da morte [Nota 7].

No Morpho, existe um "MEV Capital Resolv USR Vault" dedicado, cujo TVL já atingiu um volume significativo antes do ataque; essas posições foram os principais afetados pelos danos colaterais[4].

A queda acentuada do TVL do protocolo

O TVL do Resolv antes do ataque aumentou para bilhões de dólares (alcançando pico superior a 650 milhões de dólares, impulsionado principalmente por posições alavancadas no Morpho e no Euler). Após a suspensão do protocolo, os usuários não conseguiram resgatar os USR, e o cálculo do TVL ficou confuso devido à desancoragem do preço do USR[5].

Os detentores de RLP são a camada de primeiro prejuízo por design. A lacuna de colateral causada pelo ataque (80 milhões de USR sem colateral cunhados) será refletida diretamente como uma queda no valor líquido do RLP — o preço do RLP é um título de participação na parte sobrecolateralizada do protocolo, e quando o protocolo apresenta dívidas não cobertas, o RLP desvaloriza primeiro [6].

Os detentores de posições alavancadas do USR são a categoria que sofreu as maiores perdas. Eles não apenas enfrentam liquidação (que geralmente vem acompanhada de multas de 5-10%), mas também venderam suas posições durante o desancoramento do USR abaixo do preço de referência, resultando em perdas acumuladas inevitáveis.

Os provedores de liquidez do Curve enfrentam perda impermanente — quando o atacante vende grandes quantidades de USR, o pool dos LPs absorve passivamente grandes quantidades de USR (vendendo USDC e mantendo mais USR a preço mais baixo), gerando perda arbitragem [nota 8].

Titulares comuns de USR: conforme projetado, se o protocolo acionar normalmente o mecanismo de pausa, os titulares de USR podem resgatar 1:1 com os ativos colaterais restantes. Mas o problema é: após o ataque, o protocolo pausou todas as funções, a janela de resgate foi fechada, e os vendedores reais só conseguem negociar ao preço de mercado de US$ 0,87, suportando uma perda de desancoragem de 13%.

A primeira reação da equipe Resolv foi suspender imediatamente todas as funções do protocolo, incluindo cunhagem, resgate e transferências, para cortar os canais de operação adicionais do atacante [1].

At the time this report was written, Resolv has publicly confirmed the attack, but the full post-mortem report and formal compensation plan have not yet been released. This is consistent with the typical response timeline for DeFi security incidents—teams usually require 48–72 hours to complete on-chain forensics and vulnerability confirmation before announcing detailed remediation plans.

É digno de nota que, anteriormente, a Resolv já havia colaborado com a Immunefi para estabelecer um programa de recompensa por vulnerabilidades e implementado o sistema de monitoramento de segurança ativa da Hypernative [7]. Este último, teoricamente, deveria ser capaz de captar sinais de alerta de eventos de cunhagem anômalos — o que levanta uma questão: o sistema de alerta foi acionado a tempo, ou a velocidade do ataque já ultrapassou a janela de intervenção humana?

Do extremo velocidade com que o USR caiu para 2,5 centavos de dólar em 17 minutos, a execução do ataque foi altamente eficiente, com janela de tempo de reação muito limitada.

Este evento da Resolv não é isolado; é um fracasso típico e representativo na categoria de "dólares sintéticos" do DeFi.

Lição principal um: Assinadores off-chain são um risco centralizado. Para alcançar cunhagem eficiente, os stablecoins neutros em delta geralmente introduzem serviços de back-end off-chain para validação de ordens. Esse "componente off-chain" é essencialmente um nó de poder centralizado — se sua chave privada for comprometida, o atacante obtém praticamente o poder de cunhagem do protocolo. É introduzir a fraqueza de segurança do Web2 no Web3[8].

Segunda lição principal: "Eficiência de capital 1:1" é uma arma de dois gumes. A filosofia de design de sistemas supercolaterais (como o MakerDAO) é que, mesmo que haja pequenas falhas no contrato, o colateral adicional pode absorver parte das perdas. Sistemas neutros em delta reduzem o colateral a zero — qualquer falha na lógica de cunhagem causa diretamente uma lacuna proporcional no sistema, sem redundância.

Lição central três: a auditoria não acompanha o crescimento rápido do TVL. O Resolv aumentou seu TVL de menos de 50 milhões de dólares para mais de 650 milhões de dólares em três meses, impulsionado principalmente por estratégias de alavancagem cíclica no Morpho. A expansão rápida da complexidade do sistema e dos pontos de integração criou uma grande pressão sobre as auditorias. Lições semelhantes são comuns na história do DeFi: Euler Finance (março de 2023, perda de 197 milhões de dólares) e Inverse Finance (abril de 2022, 15,6 milhões de dólares) são trágicos exemplos de projetos "logicamente bem projetados, mas com falhas sutis na lógica de cunhagem/empréstimo"[9].

Este ataque revelou não apenas uma vulnerabilidade no contrato, mas uma contradição profunda na arquitetura do segmento de stablecoins neutras em delta.

O ponto de partida da ambição de design do USR era: não depender de reservas em moeda fiduciária, nem de supercolateralização, mas sim alcançar eficiência de capital 1:1 por meio de derivativos de hedge. Esse design era logicamente perfeito na fase de alta — os usuários cunhavam 1 USR com 1 dólar em ETH, e o protocolo recompensava os usuários com taxas de financiamento, atraindo rapidamente bilhões de dólares em TVL.

Mas a "eficiência de capital 1:1" também significa que o sistema não possui nenhum buffer de colateral. Assim que houver uma falha na lógica de cunhagem — seja por vazamento da chave do assinante off-chain ou por ausência de verificação entre solicitação e execução — um atacante poderá criar quantidades arbitrárias de stablecoins com custo quase nulo. Ao contrário dos sistemas sobrecolaterizados, que possuem uma camada de segurança, aqui o ataque penetra diretamente no sistema.

A criação de 80 milhões de USR levou apenas 100 mil dólares, 17 minutos e um piso de preço de 2,5 centavos. O atacante retirou 25 milhões de dólares em valor real, deixando para o protocolo um buraco negro aguardando reparo—e uma conta paga com custo real, escrita pelos detentores de RLP, usuários de posições alavancadas e Curve LP.

Os danos colaterais aos protocolos adjacentes como Curve, Morpho, Fluid e Euler são o outro lado da "hipercomponibilidade" do DeFi: a integração entre protocolos amplifica os retornos em períodos normais, mas também amplifica os riscos durante crises. Em última análise, a lição aqui é que, no DeFi, cada janela de eficiência que você abre é uma superfície de ataque que você expõe. A existência de assinantes off-chain torna os protocolos mais flexíveis, mas também adiciona um ponto centralizado e mortal de fraqueza.

[Note 1] Delta Neutro: Termo financeiro derivativo. O Delta mede a sensibilidade do preço do ativo em relação às flutuações do preço do ativo subjacente. "Delta=0" significa que a posição não lucra ou perde com as variações do preço do ativo subjacente — ou seja, está totalmente hedgeada. Para a Resolv, manter 1 USD em ETH (Delta=+1) ao mesmo tempo que vende curto futuros de ETH em quantidade igual (Delta=-1) resulta em Delta líquido=0, por isso é chamado de "Delta Neutro".

[Note 2] Perpetual Futures: A type of futures contract with no expiration date, serving as the mainstream derivative instrument in the cryptocurrency market. Holding a short perpetual futures position means profiting when the ETH price falls and losing when it rises, thereby hedging against spot ETH price risk.

[Note 3] Funding Rate: Mechanism to balance the perpetual futures market. When long positions exceed short positions, longs pay a "funding fee" to shorts periodically, and vice versa. Resolv, as the short side, typically receives funding fees continuously in a bull-biased crypto market, which is its core source of income.

[Nota 4] Camada subordinada (Junior Tranche): Na estrutura de divisão financeira, os investidores da camada subordinada sofrem perdas primeiro (equivalente ao "primeiro a sofrer prejuízo"), mas também recebem uma compensação de prêmio de risco mais alta na distribuição de rendimentos. O RLP corresponde à camada subordinada do protocolo Resolv, enquanto o USR corresponde à camada preferencial.

[Nota 5] Linha de gatilho de taxa de colateralização de 110%: o valor total dos ativos colaterais do USR é 1,1 vezes o volume total em circulação do USR. Abaixo desta linha, os resgates do RLP são suspensos, garantindo que os ativos restantes sejam priorizados para resgate pelos detentores do USR.

[Note 6] Flash Loan: A collateral-free borrowing tool unique to DeFi, requiring the loan and repayment to be completed within the same transaction (same block). Attackers can use this to temporarily obtain large amounts of funds to manipulate prices, as long as the loan is repaid before the transaction ends, with almost no cost of capital.

[Note 7] Death Spiral: Self-reinforcing collapse during the deleveraging process: asset prices fall → trigger liquidations → more assets sold → prices fall further → trigger more liquidations, in a cycle.

[Note 8] Impermanent Loss: A unique risk faced by liquidity providers (LPs) in automated market makers (AMMs). When the price ratio of the two assets in the pool deviates from the initial state, the value of the LP’s portfolio falls below the value of simply holding the two assets; this difference is the impermanent loss.

[Nota 9] Análise da D2 Finance / CoinTelegraph, citando comentário da D2 Finance: "Ou o oracle foi manipulado, o assinante off-chain foi comprometido, ou a validação da quantia entre a solicitação e a conclusão simplesmente está ausente." Mesma fonte.

[Nota 10] Segundo o CoinTelegraph, o USR registrou volume de negociação de US$ 3,6 milhões nas 24 horas no pool Curve USR/USDC, com o preço caindo para 2,5 centavos de dólar às 2:38 UTC.

[Nota 11] Dados estimados pela PeckShield, citados da mesma fonte do CoinTelegraph: "A PeckShield estimou que o atacante conseguiu extrair cerca de US$ 25 milhões do ataque durante o desancoramento do USR."

Link original