- Saldırganlar, imzalama erişimi elde etmek için kimlik bilgilerini kullanarak 80M USR üretti ve $25M ETH'yi hızla çıkarttı.
- Breach, GitHub, bulut sistemleri ve API anahtarlarını kapsadı ve birçok altyapı zayıflığını ortaya çıkardı.
- Resolv, erişimi iptal etti, tokenleri yaktı ve kurtarma işlemlerini başlattı, araştırma ve sistem yükseltmeleri ise devam etmektedir.
22 Mart 2026'da saldırganlık, Resolv altyapısını hedef aldı ve 80 milyon USR'nin basılmasına ve 25 milyon dolarlık ETH'nin çıkarılmasına neden oldu. Bu ihlal, imzalama sistemlerine yetkisiz erişimle gerçekleşti ve birden fazla katmanda yayıldı. Takım, soruşturmalar devam ederken, saldırganlığın kontrol altına alınmasını, kimlik bilgilerinin iptal edilmesini ve kısmi kurtarımı doğruladı.
Saldırı Zinciri Altyapı Zayıflıklarından Yararlandı
Resolv'e göre, saldırganlar önce bir iş ortağı hesabıyla bağlantılı bir üçüncü taraf projesini ele geçirerek erişim sağladı. Bu ilk ihlal, GitHub kimlik bilgilerini ortaya çıkardı ve dahili depolara girişi mümkün kıldı.
Ancak üretim korumaları doğrudan kod dağıtımını engelledi ve saldırganların taktiklerini değiştirmesine neden oldu. Bunun yerine, hassas kimlik bilgilerini sessizce çıkarmak için zararlı bir iş akışı dağıttılar.
Daha sonra saldırganlar, altyapıyı haritalandırarak API anahtarlarını hedefleyen bulut sistemlerine geçti. Sonunda, bir imzalama anahtarıyla ilişkili erişim politikalarını değiştirerek yetkilerini yükselttiler. Bu adım, onlara basım işlemlerini onaylama yetkisi verdi.
Yetkisiz Çıkarım Hızlı Varlık Dönüştürme Tetiklendi
İmza kontrolü sağlandıktan sonra, saldırganlar 02:21 UTC'de ilk işlemi gerçekleştirdi ve 50 milyon USR üretti. Kısa bir süre sonra, birden fazla cüzdan ve merkeziyetsiz borsalar kullanarak tokenleri ETH'ye değiştirmeye başladılar.
03:41 UTC'de ikinci bir işlem, 30 milyon USR daha yarattı. Toplamda, saldırganlar yaklaşık 80 dakika içinde varlıkları dönüştürerek yaklaşık 25 milyon dolar çekti.
Özellikle, izleme sistemleri erken aşamada olağan dışı aktiviteyi tespit etti. Bu uyarı, arka uç hizmetlerinin durdurulması ve sözleşme duraklatmalarının hazırlanması dahil olmak üzere bir yanıt başlatmıştır.
Kontrol Önlemleri ve Kurtarma Çabaları Devam Ediyor
Resolv, 05:30 UTC itibarıyla ihlal edilen kimlik bilgilerini iptal ettiğini doğruladı ve saldırganın erişimini kesti. Ekibin ilgili akıllı sözleşmeleri durdurduğu ve shut down edilen altyapıyı kapattığı bildirildi.
Kontrol altına alınmadan sonra protokol, yaklaşık 46 milyon USR'yi token yakımı ve siyah listeleme kontrolleriyle nötrleştirdi. Aynı zamanda, haksız erişimden önceki USR sahipleri tam tazminat alıyor ve çoğu iade zaten işleme alındı.
Hypernative, Hexens, MixBytes ve SEAL 911 dahil dış firmalar soruşturmaya katıldı. Ek incelemeler, altyapı güvenliği ve fon izleme odaklı Mandiant ve ZeroShadow tarafından yürütülecektir.
Resolv, forensik analiz ve sistem yükseltmeleri devam ettiği sürece işlemlerin durdurulduğunu açıkladı.