Wie der $25-Millionen-Resolv-USR-Minting-Diebstahl geschah
USR, eine überbesicherte Stablecoin, die nativ durch ETH gedeckt und vom Resolv-Protokoll verwaltet wird, verlor am 22. März ihre Bindung, nachdem ein Angreifer Millionen unbesicherter Token prägte und Berichten zufolge mindestens $25 Millionen extrahierte.
Angreifer nutzt Minting-Schlüssel zur Erstellung von $80 Millionen unbesicherten USR
Laut der Blockchain-Analysefirma Chainalysis erlangte der Angreifer Zugang zum AWS Key Management Service von Resolv, wo ein privilegierter Signaturschlüssel gespeichert war. Dieser Zugang ermöglichte es ihm, Minting-Operationen mit den Berechtigungen des Protokolls zu autorisieren.
Es gab zwei herausragende Transaktionen: Die erste prägte 50 Millionen USR, die zweite fügte weitere 30 Millionen hinzu, sodass insgesamt 80 Millionen Token entstanden. Laut Chainalysis waren die Minting-Operationen jedoch nur durch relativ kleine USDC-Einlagen im Wert von $100.000 bis $200.000 gedeckt, die der Kriminelle nutzte, um überhöhte Swap-Ergebnisse auszulösen.
Der Angreifer handelte schnell, indem er die neu geprägten USR in Wrapped Staked USR (wstUSR) umwandelte, ein Derivat, das einen Anteil an einem Staking-Pool darstellt. Anschließend tauschte er die Mittel in andere Stablecoins und dann in ETH, um seine Spur zu verwischen, indem er mehrere dezentrale Börsenpools und Brücken durchlief.
Resolv Labs bestätigte den Vorfall und erklärte, dass das unautorisierte Minting durch einen kompromittierten privaten Schlüssel ermöglicht wurde. Das Team pausierte die Verträge kurz nach der Entdeckung des Problems und konnte fast 9 Millionen USR verbrennen, die der Angreifer in seinem Besitz hatte. Sie berichteten auch, dass etwa $0,5 Millionen an Rücknahmen verarbeitet wurden, bevor die Operationen gestoppt wurden.
Chainalysis zufolge kontrolliert der Angreifer etwa 11.400 ETH, die zum Zeitpunkt des Diebstahls etwa $25 Millionen wert waren. Zudem hält er etwa 20 Millionen wstUSR, die jedoch deutlich weniger wert waren.
USR verliert Bindung
Unmittelbar nach dem Angriff fiel USR auf ein neues Allzeittief von etwa $0,14, laut Daten von CoinGecko. Seitdem hat sich der Wert leicht erholt, liegt aber immer noch über 57% unter dem Wert der letzten 24 Stunden.
Nach Angaben des Resolv-Teams befinden sich noch mindestens 71 Millionen illegal geprägte Token im Umlauf von USR, der laut CoinGecko insgesamt etwas über 176 Millionen Token umfasst. Das Team hat einen Rücknahmeprozess für alle vor dem Vorfall geprägten USR eingeleitet, beginnend mit zugelassenen Nutzern.
Der Vorfall ist besonders schädlich, da eine kürzlich von Ripple durchgeführte Umfrage ergab, dass 74% der Finanzmanager Stablecoins als nützliche Werkzeuge für das Cashflow- und Treasury-Management betrachten. Gleichzeitig gaben 89% an, dass sie der sicheren Verwahrung bei der Auswahl von Dienstleistern große Bedeutung beimessen, was die Wichtigkeit von Infrastruktursicherungen unterstreicht.
Resolv arbeitet mit Partnern, Strafverfolgungsbehörden und Analysefirmen zusammen, um die Gelder zu verfolgen und Vermögenswerte wiederherzustellen. Zudem hat es die Nutzer gewarnt, während des Wiederherstellungsprozesses nicht mit den betroffenen Token zu handeln.
