Resolv Labs 在被盗的 USR 事件中耗损 3,670 万美元，随后（following）在 3,400 万美元的漏洞利用之后

Resolv Labs 在 2026 年 4 月 6 日通过一次合约升级销毁了攻击者持有的 36.73 million USR 稳定币。此前 3 月发生的漏洞使攻击者获得了被入侵的密钥，攻击者由此能用少于 $200,000 的初始抵押铸造 80 million 未担保的 USR 代币，并在随后的处置中抛售了约 34 million USR，换得 11,409 ETH（约合 $24.5 million）。

尽管 Resolv Labs 声称其抵押金池依然完整，该事件仍使协议面临约 $34 million 的预计净损失。

攻击者利用链下铸币密钥来铸造未担保的 USR

此次漏洞源于 Resolv 的 USR 铸币流程出现了关键性故障。单一攻击者在一个两步链下铸币过程中，使用了被攻破的服务密钥，从而能够生成 80 million 的未抵押 USR 代币。随后，该攻击者在 DeFi 流动性池中抛售了约 34 million USR，从中提取了约 11,409 ETH（价值约 $24.5 million）。攻击者地址中剩余的 USR 随后又被 Resolv Labs 通过合约升级销毁，合计从攻击者地址中移除了约 46 million USR。

该事件导致 USR 失去锚定，最低跌至 $0.14，随后在 $0.23–$0.27 区间内部分反弹。链上分析机构估计，当代币在 Curve 以及其他流动性池去锚定时，攻击者的利润在 $23 million 至 $25 million 之间。

Resolv Labs 通过合约升级烧毁黑客持仓

公告发布前约一小时，Resolv Labs 执行了一次合约升级，销毁了攻击者地址中持有的 36.73 million USR。通过该升级，团队一共从攻击者地址移除了约 46 million USR。不过，攻击者已从链上提取的 ETH 价值——约 11,409 ETH（约 $24.48 million）——仍保留在地址 0x8ED…81C，这使得协议面临约 $34 million 的真实经济损失。

在其事后复盘中，Resolv Labs 强调：尽管是由漏洞驱动铸造了 80 million USR，但其抵押金池“仍保持完整”。然而，集成协议中的流动性提供者和杠杆用户承担了价格滑点，并被迫进行清算。协议在漏洞发生后暂停运营，并推出了一项恢复计划。

USR 漏洞凸显了 DeFi 密钥管理风险

USR 漏洞已成为 DeFi 密钥管理失败的典型案例，并与其他近期稳定币故障以及借贷市场的连锁反应相比较。Chainalysis 将此事件描述为：攻击者能够铸造数千万枚未担保稳定币，并提取价值约 $23 million，同时也凸显了——链下铸币流程中被攻破的服务密钥，如何可能层层传导，最终演变为系统性损失。

这一事件也表明：在表面上“去中心化”的系统中，特权控制既可能促成灾难性故障，也可能在一定程度上缓解灾难性故障。对于交易者和投资者而言，该事件再次引发长期疑问：收益型稳定币能否在不引入单点故障的情况下实现规模化。当前，采用可组合稳定币的 DeFi 协议正面临新的压力，需要强化铸币逻辑、轮换密钥，并以与经过审计的智能合约同等的严谨程度对待后台基础设施。

常见问题

Resolv Labs 的漏洞是如何发生的？

攻击者在 Resolv 的两步链下铸币过程中攻破了一个服务密钥，从而能够在初始抵押少于 $200,000 的情况下铸造 80 million 枚未担保的 USR 代币。随后，在 Resolv 通过合约升级烧毁剩余持仓之前，攻击者先将约 34 million USR 换出为 11,409 ETH（约 $24.5 million）。

漏洞造成的财务影响是什么？

攻击者提取了价值约 $24.5 million 的 11,409 ETH。尽管已烧毁了攻击者持有的 36.73 million USR，Resolv Labs 仍面临预计约 $34 million 的净损失。USR 稳定币发生去锚定，最低跌至 $0.14，随后出现部分恢复。

Resolv Labs 在漏洞发生后采取了哪些措施？

Resolv Labs 暂停运营，推出恢复计划，并通过合约升级销毁了攻击者持有的 36.73 million USR。团队从攻击者地址移除了约 46 million USR。协议表示：尽管发生了该漏洞，其抵押金池仍保持完整。