Le stablecoin de Resolv Labs chute de 80% alors qu'un exploiteur crée des millions de tokens USR non garantis

Dimanche, le protocole de finance décentralisée Resolv Labs a révélé que le processus de frappe de son stablecoin natif avait été exploité.

L'attaquant a créé 80 millions de tokens USR non adossés après avoir obtenu l'accès aux clés privées du projet, a déclaré Resolv Labs lundi matin.

Avec ces tokens frappés, l'attaquant a ensuite échangé les tokens USR contre des versions stakées et les a échangés contre le stablecoin adossé au dollar de Circle avant d'utiliser ces avoirs pour acheter de l'Ether.

Au total, ils se sont enfuis avec environ 23 millions de dollars en Ether, selon les données on-chain, et ont laissé les détenteurs de tokens USR dans l'embarras.

CoinGecko montre que le stablecoin USR se négocie maintenant en dessous de 0,4 $, ayant chuté jusqu'à 0,02 $.

Les fonctions de frappe et de rachat du projet ont été désactivées pour atténuer les dommages supplémentaires, a déclaré l'équipe Resolv.

Le stablecoin de Resolv Labs maintient son ancrage en tirant parti de stratégies de trading qui équilibrent les positions longues et courtes sur des actifs volatils.

Lorsque les utilisateurs déposent de l'Ether pour frapper de l'USR, le protocole ouvre simultanément des positions courtes égales — des paris sur la baisse du prix de l'Ether — de sorte que quelle que soit la volatilité de l'actif, le token USR reste équilibré.

La dernière exploitation, cependant, avait peu à voir avec ce mécanisme.

Exploitation de clé privée

L'exploiteur chez Resolv Labs a pu frapper 80 millions de tokens USR en utilisant entre 100 000 $ et 200 000 $ de garantie après avoir compromis les clés privées du projet, selon Chainalysis.

Ils ont pu contourner la logique du protocole après avoir accédé au service de gestion des clés de Resolv sur Amazon Web Services.

Les clés privées sont un composant essentiel des Smart Contract (Contrat Intelligent), car elles permettent aux détenteurs d'effectuer les actions qu'ils souhaitent, comme frapper des millions d'un token spécifique.

Le contrat de frappe n'avait pas d'oracle ni de vérifications de frappe maximale en place pour empêcher cette action, selon le cofondateur de l'explorateur on-chain alimenté par l'IA Herd, Andrew Whong.

L'interopérabilité contre-attaque

Resolv Labs et les détenteurs d'USR n'ont pas été les seules victimes de l'exploitation.

Divers protocoles qui avaient intégré le stablecoin ont également été durement touchés, notamment ceux utilisant un modèle de curateur pour générer des rendements pour leurs utilisateurs.

Morpho Labs, un protocole de prêt qui utilise un modèle de curateur, a fourni un exemple frappant de la façon dont des exploitations comme celle de Resolv peuvent se propager à travers la DeFi / Finance Décentralisée.

Le protocole Morpho permet aux gestionnaires de plateformes tierces de personnaliser leurs pools de prêt et d'établir leurs propres paramètres de sécurité et listes de tokens. Ces gestionnaires sont appelés curateurs.

Le risque incombe aux curateurs de ces pools plutôt qu'à Morpho, en cas de problème.

« Je tiens à réitérer qu'il n'y a aucune vulnérabilité dans les contrats Morpho. Ils sont sûrs et fonctionnent comme prévu », a déclaré Merlin Egalite, cofondateur de Morpho, lundi.

« Pour des conseils sur les coffres qui peuvent avoir une exposition à l'USR ou aux actifs liés à Resolv, nous recommandons de suivre les communications des curateurs concernés. »

Gauntlet, Re7 Labs, kpk et 9summits étaient des curateurs Morpho qui avaient créé des pools personnalisés — appelés coffres — avec une exposition à l'USR.

Dans certains cas, ces curateurs disposaient de services de liquidité automatisés qui ont continué à fournir de la liquidité à leurs coffres USR des heures après l'exploitation, aggravant davantage les dommages, a déclaré le fondateur de Chaos Labs, Omer Goldberg.

Au total, environ 15 coffres avec plus de 10 000 $ de liquidité ont été impactés par l'exploitation de Resolv, a déclaré le cofondateur de Morpho, Paul Frambot.

« Les curateurs ont réagi rapidement à une situation difficile, l'équipe Morpho apportant son aide lorsque nécessaire », a-t-il déclaré.

« Cela dit, nous continuerons à travailler avec les curateurs pour améliorer davantage les outils disponibles pour les aider lors d'événements futurs. »

Liam Kelly est le correspondant DeFi de DL News basé à Berlin. Vous avez un tuyau ? Contactez-nous à liam@dlnews.com.