20萬(wàn)換近1億，DeFi穩(wěn)定幣USR再遭黑客攻擊致脫錨
北京時(shí)間今日 10:21 左右，利用 Delta 中性策略發(fā)行穩(wěn)定幣 USR 的 Resolv Labs 遭到黑客攻擊。0x04A2 開(kāi)頭的地址用 10 萬(wàn)枚 USDC 從 Resolv Labs 協(xié)議中鑄造出了 5000 萬(wàn)枚 USR。
隨著事件曝光，USR 應(yīng)聲跌至 0.25 美元附近，截至撰文時(shí)回升至 0.8 美元左右。RESOLV 代幣價(jià)格短時(shí)最高跌幅也接近 10%。
之后黑客如法炮制再次用 10 萬(wàn)枚 USDC 鑄造了 3000 萬(wàn)枚 USR。隨著 USR 的大幅脫錨，套利交易者也快速行動(dòng)，Morpho 上支持以 USR、wstUSR 等作為抵押品的很多借貸市場(chǎng)已幾乎被掏空，BNB Chain 上的 Lista DAO 也暫停了新的借款請(qǐng)求。
受到影響的還不止這些借貸協(xié)議。Resolv Labs 協(xié)議設(shè)計(jì)中，用戶還可以鑄造一種價(jià)格波動(dòng)更大，收益也更高，但需要在協(xié)議收到損失時(shí)承擔(dān)賠償責(zé)任的 RLP 代幣。目前 RLP 代幣的流通量近 3000 萬(wàn)枚，最大持有者 Stream Finance 持有超 1300 萬(wàn)枚 RLP，凈風(fēng)險(xiǎn)敞口大約為 1700 萬(wàn)美元。
沒(méi)錯(cuò)，之前因?yàn)?xUSD 暴雷了一次的 Stream Finance 可能要再次被暴擊。
截至撰文時(shí)，黑客已將 USR 轉(zhuǎn)換為 USDC 和 USDT，并持續(xù)買(mǎi)入以太坊，目前已經(jīng)買(mǎi)入超 1 萬(wàn)枚。用 20 萬(wàn)枚 USDC 套出了超 2000 萬(wàn)美元的資產(chǎn)，黑客在熊市期間找到了屬于 TA 的「百倍幣」。
又一次因「不嚴(yán)謹(jǐn)」而被鉆空子
去年 10 月 11 日的大跌，使得很多使用 Delta 中性策略發(fā)行的穩(wěn)定幣都因?yàn)?ADL（自動(dòng)降杠桿）而產(chǎn)生了抵押品損失。部分以山寨幣作為執(zhí)行策略的資產(chǎn)的項(xiàng)目損失更為慘重甚至直接跑路。
這一次遭到攻擊的 Resolv Labs 也是利用類(lèi)似的機(jī)制發(fā)行 USR，該項(xiàng)目曾在 2025 年 4 月宣布完成了 Cyber.Fund 和 Maven11 領(lǐng)投，Coinbase Ventures 參投的 1000 萬(wàn)美元種子輪融資，并于 5 月底 6 月初上線了代幣 RESOLV。
但 Resolv Labs 被攻擊的原因并非極端行情，而是鑄造 USR 的機(jī)制設(shè)計(jì)「不夠嚴(yán)謹(jǐn)」。
目前還沒(méi)有安全公司或者官方對(duì)此次黑客事件發(fā)生的原因進(jìn)行分析。DeFi 社區(qū) YAM 通過(guò)分析初步得出了結(jié)論：攻擊很可能是協(xié)議后端用于給鑄造合約提供參數(shù)的 SERVICE_ROLE 被黑客控制導(dǎo)致。
據(jù) Grok 分析，用戶鑄造 USR 時(shí)會(huì)在鏈上發(fā)起請(qǐng)求，并調(diào)用合約的 requestMint 函數(shù)，參數(shù)包括：
_depositTokenAddress：存入的代幣地址；
_amount：存入數(shù)量；
_minMintAmount：最低期望收到的 USR 數(shù)量（防滑點(diǎn)）。
之后，用戶將 USDC 或 USDT 存入合約，項(xiàng)目方后端 SERVICE_ROLE 監(jiān)控請(qǐng)求，使用 Pyth 預(yù)言機(jī)檢查存入資產(chǎn)的價(jià)值，之后調(diào)用 completeMint 或 completeSwap 函數(shù)，決定實(shí)際鑄造的 USR 數(shù)量。
問(wèn)題就出在，鑄造合約完全信任 SERVICE_ROLE 提供的 _mintAmount，認(rèn)為該數(shù)字是在鏈下由 Pyth 驗(yàn)證過(guò)的，所以沒(méi)有設(shè)置上限限制，也沒(méi)有鏈上的預(yù)言機(jī)驗(yàn)證，直接執(zhí)行了 mint(_mintAmount)。
據(jù)此，YAM 懷疑黑客控制了本應(yīng)由項(xiàng)目方控制的 SERVICE_ROLE（可能是由于內(nèi)部預(yù)言機(jī)失控、監(jiān)守自盜或者密鑰被盜），在鑄造時(shí)直接將 _mintAmount 設(shè)置為 5000 萬(wàn)，實(shí)現(xiàn)了用 10 萬(wàn)枚 USDC 鑄造 5000 萬(wàn)枚 USR 的攻擊事件。
歸根結(jié)底，Grok 給出的結(jié)論是，Resolv 在設(shè)計(jì)協(xié)議時(shí)并未考慮用于接收用戶鑄造請(qǐng)求的地址（或合約）會(huì)被黑客控制的可能性，在鑄造 USR 的請(qǐng)求提交給最后鑄造 USR 的合約時(shí)，沒(méi)有設(shè)置最大鑄造數(shù)額，也沒(méi)有讓鑄造合約用鏈上預(yù)言機(jī)進(jìn)行二次驗(yàn)證，就直接信任了 SERVICE_ROLE 提供的所有參數(shù)。
預(yù)防也不到位
除了推測(cè)被黑的原因，YAM 也指出了項(xiàng)目方在應(yīng)對(duì)危機(jī)方面的準(zhǔn)備不足。
YAM 在 X 上表示，Resolv Labs 在黑客第一次攻擊完成后的 3 個(gè)小時(shí)才暫停了協(xié)議，其中有大約 1 小時(shí)的延遲是來(lái)自于收集多簽交易需要的 4 個(gè)簽名。YAM 認(rèn)為，緊急暫停應(yīng)該只需一個(gè)簽名，且權(quán)限應(yīng)該盡可能分配給團(tuán)隊(duì)成員，或者可信的外部運(yùn)營(yíng)人員，這樣可以增加對(duì)鏈上異常情況的關(guān)注度，提高快速暫停的可能性，并更好地覆蓋不同時(shí)區(qū)。
雖然只需單個(gè)簽名就可以暫停協(xié)議的建議有些激進(jìn)，但需要跨不同時(shí)區(qū)的多個(gè)簽名才能暫停協(xié)議確實(shí)在緊急情況發(fā)生時(shí)可能會(huì)耽誤大事。引入可信的、持續(xù)監(jiān)控鏈上行為的第三方，或者使用有緊急暫停協(xié)議權(quán)限的監(jiān)控工具，都是這次事件帶來(lái)的「后事之師」。
黑客對(duì) DeFi 協(xié)議的攻擊早就已經(jīng)不限于合約漏洞，Resolv Labs 的事件給項(xiàng)目方的警示在于：在協(xié)議安全方面的假設(shè)應(yīng)該是不能信任其中任何一環(huán)，所有涉及參數(shù)的環(huán)節(jié)都必須至少進(jìn)行二次驗(yàn)證，即使是項(xiàng)目方自己運(yùn)營(yíng)的后端也不例外。
以上就是20萬(wàn)換近1億，DeFi穩(wěn)定幣USR再遭黑客攻擊致脫錨的詳細(xì)內(nèi)容，更多關(guān)于20萬(wàn)致DeFi穩(wěn)定幣近1億損失的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！
你可能感興趣的文章
-
Aave創(chuàng)始人放話：50萬(wàn)億美元“豐饒資產(chǎn)”熱潮開(kāi)啟DeFi新 紀(jì) 元！
Aave創(chuàng)始人Stani Kulechov預(yù)言，到2050年，DeFi可通過(guò)代幣化從太陽(yáng)能等“豐饒資產(chǎn)”中受益，規(guī)模或達(dá)50萬(wàn)億美元,目前已有近250億美元現(xiàn)實(shí)資產(chǎn)被代幣化，他預(yù)計(jì)此類(lèi)資產(chǎn)將持…
2026-02-16 -
維塔利克·布特林（Vitalik）發(fā)聲：去中心化穩(wěn)定幣是DeFi核心，中心化
Vitalik強(qiáng)調(diào)，去中心化穩(wěn)定幣是DeFi生態(tài)的基石，必須超越對(duì)美元的單一依賴，構(gòu)建長(zhǎng)期可持續(xù)的價(jià)值錨定機(jī)制,他指出當(dāng)前中心化收益模式存在三大隱患：錨定單一法幣的系統(tǒng)性風(fēng)…
2026-02-09 -
2026年重塑加密市場(chǎng)的5大變革性DeFi趨勢(shì),一文詳解
本文系統(tǒng)梳理了 2026 年正在重塑交易者、機(jī)構(gòu)與開(kāi)發(fā)者參與鏈上金融方式的五大關(guān)鍵趨勢(shì)，并揭示這些變化如何將機(jī)會(huì)從單純的投機(jī)交易，延展至更具可持續(xù)性的基礎(chǔ)設(shè)施建設(shè)，感…
2026-01-18 -
Dragonfly 的 2026 年加密貨幣展望：比特幣、錢(qián)包和 DeFi 的轉(zhuǎn)變
在宏觀經(jīng)濟(jì)不確定性加劇的情況下，比特幣作為一種中性且稀缺的資產(chǎn)，其吸引力有所增強(qiáng)，尤其是在主要司法管轄區(qū)的監(jiān)管透明度不斷提高的情況下,比特幣在加密貨幣總市值中的…
2026-01-05 -
DeFi先驅(qū)因?qū)σ蕴唬‥TH）下了一筆相當(dāng)糟糕的賭注，吐出5萬(wàn)美元
DeFi先驅(qū)馬克在一次高風(fēng)險(xiǎn)交易中，因低估以太坊波動(dòng)性，在3700美元高位重倉(cāng)做多,當(dāng)市場(chǎng)突遭黑天鵝事件暴跌至3400美元，其杠桿頭寸被強(qiáng)制平倉(cāng)，5萬(wàn)美元本金瞬間蒸發(fā),他反思…
2026-01-02 -
DeFi的下一步是什么?2026年值得關(guān)注的DeFi頂級(jí)趨勢(shì)
這篇文章主要來(lái)和大家預(yù)測(cè)一下2026年DeFi的三大趨勢(shì)，統(tǒng)一穩(wěn)定幣層解決流動(dòng)性碎片化問(wèn)題，DEX與CEX競(jìng)爭(zhēng)加劇并可能占據(jù)50%交易量，隱私導(dǎo)向協(xié)議和區(qū)塊鏈的采用將推動(dòng)機(jī)構(gòu)參…
2025-12-26 -
a16z押注能源代幣化實(shí)驗(yàn)：DayFi將如何用DeFi重構(gòu)電網(wǎng)？一文了解
a16z支持的DayFi協(xié)議通過(guò)區(qū)塊鏈將分布式電力資產(chǎn)（如太陽(yáng)能、電動(dòng)汽車(chē)充電樁）代幣化為GRID穩(wěn)定幣和sGRID收益代幣，實(shí)現(xiàn)電力供需的實(shí)時(shí)匹配與交易,用戶通過(guò)貢獻(xiàn)閑置電力獲…
2025-12-13 -
抄底良機(jī)？真實(shí)收益DeFi 代幣，一文深度解析
我們審視了擁有“真實(shí)收益”的 DeFi 明星項(xiàng)目——Ethena (ENA)、Pendle (PENDLE) 和 Hyperliquid (HYPE)，并提出了一個(gè)內(nèi)核問(wèn)題：在代幣價(jià)格下跌的同時(shí)，它們的基本面是否…
2025-12-03 -
Curve分析：基于流動(dòng)性與激勵(lì)機(jī)制以及社區(qū)構(gòu)建的DeFi堡壘
Curve是DeFi領(lǐng)域的流動(dòng)性引擎，通過(guò)創(chuàng)新挖礦機(jī)制與社區(qū)共治模式，構(gòu)建起穩(wěn)定高效的交易生態(tài)，成為去中心化金融的核心基石,…
2025-11-16 -
DeFi備受關(guān)注的穩(wěn)定幣USDX是什么?為何崩盤(pán)?深入剖析USDX脫錨原因與影響
上周，去中心化金融（DeFi）領(lǐng)域再次遭受重創(chuàng)，Stable Labs發(fā)行的合成穩(wěn)定幣USDX遭遇了劇烈的脫錨事件,本文將探討USDX崩盤(pán)的時(shí)間線，深入剖析合成穩(wěn)定幣的底層機(jī)制，分析脫…
2025-11-10
