Resolv Labs、$34百万のエクスプロイトの後にハッキングされたUSRとして3,670万を焼失

Resolv Labsは、2026年4月6日に行われたコントラクトのアップグレードにより、攻撃者が保有していた3,673万USRステーブルコインを破壊しました。これは、3月に起きたエクスプロイトに続くもので、その際に侵害された鍵によって、初期担保が$200,000未満で、裏付けのないUSRトークンを8,000万枚発行できるようになった攻撃者がいました。そして攻撃者は、約3,400万USRを約11,409 ETH（約$24.5 million相当）で投げ売りしました。

この事件により、Resolv Labsが担保プールはそのまま残っていると主張しているにもかかわらず、プロトコルは推定で約$34 millionの純損失に直面しています。

攻撃者がオフチェーン発行の鍵を悪用して裏付けのないUSRを発行

このエクスプロイトは、ResolvのUSR発行フローにおける重大な失敗に端を発します。攻撃者は1人で、2段階のオフチェーン発行プロセスで侵害されたサービス鍵を使用することで、8,000万枚の無担保USRトークンを生成できました。次に攻撃者は、DeFiの流動性プールにわたって約3,400万USRを投げ売りし、約11,409 ETH（約$24.5 million相当）を引き出しました。攻撃者のアドレスに残っていたUSRは、その後Resolv Labsがコントラクトのアップグレードによって破壊し、合計で約4,600万USRを攻撃者のアドレスから削除しました。

この事件により、USRはペッグを失い、$0.14まで急落したのち、部分的に$0.23〜$0.27の範囲へ戻りました。オンチェーン分析企業は、トークンがCurveや他の流動性プールでディペッグしたことにより、攻撃者の利益は$23 millionから$25 millionの間だったと見積もりました。

Resolv Labsがコントラクトのアップグレードでハッカーの保有分を焼却

発表の約1時間前に、Resolv Labsはコントラクトのアップグレードを実行し、攻撃者のアドレスに保有されていた3,673万USRを破壊しました。チームは、このアップグレードによって攻撃者のアドレスから合計約4,600万USRを除去しました。しかし、すでにETHとして抽出された価値、すなわち約11,409 ETH（約$24.48 million相当）は、アドレス0x8ED…81Cに残っており、プロトコルは約$34 million規模の実質的な経済的打撃に直面しています。

レポート（ポストモーテム）でResolv Labsは、80百万USRの攻撃主導の発行にもかかわらず、自社の担保プールは「そのまま残っている」と強調しました。ところが、統合されたプロトコルにまたがる流動性提供者やレバレッジ利用者が価格のスリッページを吸収し、強制精算を余儀なくされました。プロトコルはエクスプロイト後に稼働を停止し、回復計画を展開しました。

USRエクスプロイトが浮き彫りにしたDeFiキーマネジメントのリスク

USRエクスプロイトは、DeFiの鍵管理における失敗の事例として広まり、他の直近のステーブルコイン失敗や貸出市場の連鎖（コンタジョン）との比較も呼び起こしました。Chainalysisは、この事件を、攻撃者が数千万枚の裏付けのないステーブルコインを発行し、価値として約$23 millionを引き出すことができたケースだと説明し、オフチェーン発行プロセスで侵害されたサービス鍵が、システム全体の損失へ連鎖し得ることを示しました。

この一件は、特権的な統制が、名目上分散化されたシステムにおいては壊滅的な失敗を引き起こし得る一方で、それを緩和することもできることを物語っています。トレーダーや投資家にとって、この事件は、利回りを生むステーブルコインが単一障害点を導入せずにスケールできるのかという長年の問いを再燃させます。合成可能（コンポーザブル）なステーブルコインを備えたDeFiプロトコルは、発行ロジックを強化し、鍵をローテーションし、バックエンド基盤を監査済みスマートコントラクトと同等の厳密さで扱うことに対する新たな圧力に直面しています。

FAQ

Resolv Labsのエクスプロイトはどのように発生しましたか？

攻撃者はResolvの2段階オフチェーン発行プロセスにおいて、サービス鍵を侵害しました。これにより、初期担保が$200,000未満で、80百万枚の裏付けのないUSRトークンを発行できるようになりました。その後攻撃者は、Resolvがコントラクトのアップグレードで残りの保有分を焼却する前に、約3,400万USRを11,409 ETH（約$24.5 million）で投げ売りしました。

エクスプロイトの金融的な影響は何でしたか？

攻撃者は、約11,409 ETH（約$24.5 million相当）を引き出しました。Resolv Labsは、攻撃者が保有していた3,673万USRを焼却したにもかかわらず、推定で約$34 millionの純損失に直面しています。USRステーブルコインはディペッグし、$0.14まで下落したのち、部分的に回復しました。

Resolv Labsはエクスプロイト後にどのような対策を取りましたか？

Resolv Labsは稼働を停止し、回復計画を展開し、コントラクトのアップグレードを使って攻撃者が保有していた3,673万USRを破壊しました。チームは攻撃者のアドレスから約4,600万USRを除去しました。プロトコルは、エクスプロイトにもかかわらず担保プールはそのまま残っていると述べています。