Actualización del contrato de Resolv Labs: destrucción forzada de 36,73 millones de tokens USR del hacker USR

El protocolo de criptomonedas Resolv Labs realizó una actualización de contrato el 6 de abril mediante contratos inteligentes, forzando la quema de 36,73 millones de USR estables en poder de la dirección del atacante; este es el avance más reciente en las acciones de seguimiento tras el incidente del ataque por una vulnerabilidad de acuñación del 22 de marzo. El atacante utilizó la clave privada del servicio de gestión de llaves AWS KMS filtrado fuera de la cadena para acuñar 80 millones de USR sin garantía con una garantía inicial inferior a 200k dólares.

Recapitulación del ataque: cómo la clave AWS filtrada desencadenó pérdidas sistémicas

Según el análisis de Chainalysis, el núcleo de este ataque fue una clave privada filtrada de AWS KMS (Key Management Service, Servicio de gestión de llaves) en la infraestructura autorizada fuera de la cadena de la cadena de Resolv. El atacante utilizó esta clave para eludir el mecanismo de autorización de acuñación y completar en la cadena dos transacciones principales de acuñación: 50 millones de USR y 30 millones de USR; la garantía inicial fue solo de 100k a 200k dólares en USDC.

Ruta de conversión de los fondos del ataque

Acuñación: Acunación de 80 millones de USR sin garantía con una garantía de menos de 200k dólares

Conversión: Empaquetar USR en wstUSR (versión tokenizada con garantía), convirtiéndolo gradualmente en otras stablecoins

Liquidación: Conversión final a aproximadamente 11.409 ETH, con un valor de aproximadamente 24,48 millones de dólares

Impacto en el precio: Una gran cantidad de tokens sin garantía entraron en los pools de liquidez de DeFi; USR llegó a desplomarse a 0,14 dólares

Chainalysis señaló que la falla fundamental de este ataque radica en que el sistema de acuñación de Resolv no tiene límites de acuñación en cadena ni mecanismos de verificación en cadena, dependiendo completamente de firmas fuera de la cadena para la autorización; en cuanto se filtra la clave privada, se forma de inmediato una exposición sistémica.

Acciones de respuesta de Resolv Labs: actualización del contrato y confirmación del alcance de las pérdidas

（Fuente: Etherscan）

El analista en cadena Yu Jin registró que Resolv Labs, el 6 de abril, mediante una actualización de contrato, forzó la quema de 36,73 millones de USR desde la dirección del atacante. Combinando con las acciones de mitigación previas, el equipo de Resolv retiró aproximadamente 46 millones de USR de la dirección del atacante mediante múltiples actualizaciones de contratos.

Sin embargo, parte de los fondos ya extraídos por el atacante en forma de ETH no puede recuperarse; la pérdida económica real que el protocolo confirmó fue de aproximadamente 34 millones de dólares. Resolv Labs enfatizó que, aunque la vulnerabilidad provocó la acuñación excesiva de 80 millones de USR, el “pool de garantías” del protocolo “sigue intacto”.

Este incidente también revela la doble naturaleza del mecanismo de control de contratos con privilegios: el mismo conjunto de poderes de actualización puede ser usado por el atacante para provocar una crisis y también por la parte del protocolo para detener la pérdida de manera urgente. Para los protocolos DeFi que, en términos nominales, se presentan como descentralizados, esta característica representa un riesgo de gobernanza a largo plazo.

Alerta de seguridad en DeFi: la infraestructura fuera de la cadena es el siguiente principal vector de ataque

Aunque Resolv superó 18 auditorías de seguridad, las deficiencias de protección en la infraestructura AWS fuera de la cadena todavía causaron pérdidas a escala, destacando puntos ciegos estructurales dentro del alcance actual de las auditorías de seguridad de DeFi.

Investigadores de seguridad indicaron que si se hubieran desplegado herramientas de monitoreo en tiempo real en cadena como Hexagate, el ratio anómalo de acuñación habría podido marcarse automáticamente y detener la ejecución del contrato en una etapa temprana, reduciendo significativamente el alcance de las pérdidas. La lección central de este incidente es que el marco de seguridad de los protocolos DeFi debe incluir, con la misma prioridad que las auditorías de contratos inteligentes, mecanismos de rotación de llaves del backend, controles de acceso a la infraestructura en la nube y mecanismos automáticos de corte por transacciones anómalas.

Preguntas frecuentes

¿Cómo forzó Resolv Labs la quema de USR que tenía el hacker?

Resolv Labs, a través del mecanismo de actualización de contratos inteligentes, ejecutó acciones de quema forzada de tokens en la dirección del atacante. Esta acción depende de los permisos del administrador privilegiado del protocolo; no requiere el consentimiento del atacante para ejecutarse en la cadena, lo que la convierte en una medida de respuesta de emergencia centralizada.

¿Cuál fue el monto real de pérdidas de la vulnerabilidad de Resolv en esta ocasión?

El atacante ya intercambió aproximadamente 34 millones de USR por 11.409 ETH (aproximadamente 24,48 millones de dólares) y los transfirió; esta parte no puede recuperarse. La pérdida neta real confirmada por el protocolo fue de aproximadamente 34 millones de dólares; los 36,73 millones de USR que Resolv Labs quemó fueron los saldos restantes del atacante que aún no había liquidado.

¿Qué impactos tuvo este ataque en el mecanismo de anclaje de USR?

Tras el ataque, USR cayó temporalmente hasta 0,14 dólares; después de fluctuar entre 0,23 y 0,27 dólares, se recuperó gradualmente. Resolv Labs afirmó que el pool de garantías está intacto; sin embargo, este incidente ya causó un impacto estructural en la credibilidad del anclaje de USR por parte del mercado, y también llevó al protocolo a pausar la operación y lanzar un plan de recuperación.