Resolv взлома: как утечка одного приватного ключа привела к незаконному выпуску $23 млн

Написано: Chainalysis

Перевод: AididiaoJP, Foresight News

22 марта 2026 года протокол Resolv DeFi стал последним примером, демонстрирующим, как быстро в сфере DeFi может возникнуть кризис, если предположения о безопасности окажутся неверными. За считанные минуты злоумышленник создал десятки миллионов USR — стабильно-криптовалютных токенов Resolv без обеспечения, и извлек примерно 25 миллионов долларов стоимости, что привело к резкому расхождению цены USR и вынудило протокол остановить работу.

На первый взгляд, это кажется очередной уязвимостью смарт-контракта. Однако это не так. Код работал точно так, как было задумано.

На самом деле, это инцидент, вызванный чрезмерным доверием к оффчейн-инфраструктуре. По мере усложнения систем DeFi и их все большей зависимости от внешних сервисов, привилегированных ключей и облачных инфраструктур, их поверхность атаки значительно расширилась за пределы самой блокчейн-системы.

В статье мы рассмотрим ход событий и их последствия, а также обсудим: когда компоненты вне цепочки подвергаются взлому, единственной критически важной защитой становится механизм обнаружения и реагирования на угрозы в реальном времени на цепочке, который способен отличить управляемое событие от уязвимости, приводящей к потерям в миллионы долларов.

Обзор событий

Злоумышленник сначала внес небольшую сумму (около 100 000 — 200 000 долларов USDC) и использовал её для взаимодействия с системой создания USR протокола Resolv. В обычных условиях, после внесения USDC, пользователь получал эквивалентное количество USR. Однако в этом случае злоумышленник успешно создал около 80 миллионов USR — значительно превышая допустимый лимит, соответствующий его депозиту.

Это произошло потому, что процесс одобрения создания основывался на оффчейн-сервисе, который использовал привилегированный приватный ключ для авторизации количества создаваемых USR. Однако сам смарт-контракт не устанавливал никаких лимитов на количество создаваемых токенов — он лишь проверял подпись на валидность.

После создания не обеспеченных залогом USR злоумышленник быстро обменял их на wstUSR — производный токен, представляющий долю в пуле залога, который не привязан к USR по фиксированному курсу. Затем он постепенно обменял их на другие стабильные монеты и, в конечном итоге, вывел в ETH. К моменту завершения атаки злоумышленник получил около 25 миллионов долларов в ETH. В результате огромный поток не обеспеченных USR резко снизил цену токена примерно на 80%.

После выяснения исхода событий далее будет проанализировано, как недостатки в проектировании процесса создания USR создали условия для атаки.

Обычный процесс создания токенов Resolv

Чтобы понять причины атаки, необходимо ознакомиться с механизмом создания USR в Resolv.

Когда пользователь хочет создать нативный токен USR, его взаимодействие — это не полностью автономный цепочный процесс, а включает два этапа оффчейн-операции:

requestSwap — пользователь вносит USDC в контракт USR Counter и инициирует запрос на создание.

completeSwap — оффчейн-сервис с привилегированным ключом SERVICE_ROLE проверяет запрос и через обратный вызов контракта определяет окончательное количество USR для создания.

На уровне контракта предусмотрено только минимальное количество USR, которое можно создать, без ограничения верхней границы. В системе не реализованы проверки соотношения между внесённым залогом и количеством создаваемых USR, а также не используются ценовые оракула, лимиты общего объема или максимальный процент создания. Иными словами, любой запрос, подписанный этим ключом, может привести к созданию USR.

Подробности атаки

Шаг 1: Получение доступа к AWS KMS Resolv

Злоумышленник взломал облачную инфраструктуру Resolv и получил доступ к среде AWS KMS, где хранились привилегированные ключи протокола. Получив контроль над KMS, он смог использовать собственный ключ для авторизации любых операций по созданию USR.

Шаг 2: Создание USR

Обладатель ключа инициировал два запроса swap, каждый из которых был обеспечен небольшим депозитом USDC — в сумме около 100 000–200 000 долларов, разбитых на несколько транзакций. Затем он вызвал функцию completeSwap, указав искусственно завышенное количество USR, что позволило ему создать десятки миллионов USR при минимальных вложениях USDC.

На блокчейне зафиксированы две крупные транзакции:

создание 50 миллионов USR

создание 30 миллионов USR

Общая сумма — 80 миллионов USR, что примерно равно 25 миллионам долларов.

Шаг 3: Обход ограничений ликвидности через wstUSR

Злоумышленник обменял USR на wstUSR — производный токен, представляющий долю в пуле залога, который не привязан к USR по фиксированному курсу. Такой обмен позволил избежать прямого воздействия на рынок USR и перенести позицию в более ликвидный, но менее привязанный к USR актив.

Шаг 4: Вывод средств

Обладая wstUSR, злоумышленник обменял их на стабильные монеты, затем — на ETH, и с помощью нескольких децентрализованных бирж и межцепочечных мостов перевёл средства, чтобы максимизировать вывод и усложнить отслеживание.

На момент написания статьи у злоумышленника на счету остаются:

примерно 11 400 ETH (около 24 миллиона долларов)

около 2 миллионов wstUSR (по текущей цене — около 130 тысяч долларов)

Влияние на держателей USR

Данный инцидент нанес серьёзный удар держателям USR.

Созданные 80 миллионов не обеспеченных USR поступили в ликвидность децентрализованных бирж. В результате резкого увеличения предложения цена USR резко упала — до 0,20 доллара, снизившись на 80%. В течение нескольких часов цена немного восстановилась и достигла около 0,56 доллара.

После инцидента команда Resolv Labs выпустила заявление, приостановив работу протокола для предотвращения дальнейших потерь и начав расследование. Учитывая, что злоумышленник продолжает пытаться создавать новые USR, своевременные меры по предотвращению дальнейших убытков крайне важны, что подчёркивает необходимость быстрого реагирования на подобные атаки.

Здоровая концепция безопасности предполагает «предположение о наличии уязвимостей»

Несмотря на то, что Resolv реализовал все стандартные меры безопасности и прошёл 18 аудитов, этот инцидент по сути — простая история: злоумышленник получил ключ, использовал его для незаконного создания активов и до обнаружения злоумышленника вывел их.

Однако в более глубоком плане этот случай показывает, как DeFi-протоколы наследуют риски и предположения о безопасности своей оффчейн-инфраструктуры. Работа и дизайн смарт-контрактов полностью соответствуют этим предположениям, а вся система и взломанная оффчейн-инфраструктура не соответствовали необходимым стандартам безопасности.

В условиях, когда уязвимости могут быть реализованы за считанные минуты, а потери — быстро проявиться, механизмы мониторинга в реальном времени и автоматического реагирования становятся неотъемлемой частью защиты, а не просто дополнительным инструментом.

Анализ предотвращения инцидента Hexagate

Инцидент с взломом Resolv ясно показывает важность систем мониторинга в цепочке. Если бы использовался Chainalysis Hexagate, можно было бы реализовать два конкретных сценария обнаружения:

Первый сценарий: мониторинг аномальных случаев создания USR

Настроив Hexagate, можно отслеживать вызовы функции completeSwap и выявлять случаи, когда создаваемое количество USR значительно превышает внесённый залог.

Например, депозит USDC на сумму 10 тысяч долларов, который разрешает создание 50 миллионов USR — это явное отклонение от нормы. Можно установить правило тревоги, например, при превышении соотношения создания USR в 1,5 раза — срабатывать сигнал тревоги, что позволит оперативно выявить такие транзакции.

Встроенные механизмы Hexagate позволяют автоматически реагировать на такие аномалии.

Второй сценарий: использование GateSigner и кастомных правил для контроля ключевых событий

Злоумышленник должен пройти оба этапа — requestSwap и completeSwap, — каждый из которых генерирует цепочные события. В сочетании с функциями GateSigner и мониторингом событий можно настроить автоматическую остановку смарт-контрактов при обнаружении подозрительных Mint-событий, что позволит заблокировать создание 80 миллионов USR до их выхода на рынок.