Меньше года назад в мире DeFi произошла довольно серьезная ситуация, которую, вероятно, многие не полностью осознали. Протокол Resolv подвергся хакерской атаке, которая выявила критическую уязвимость в управлении приватными ключами, и масштаб инцидента оказался весьма поучительным в отношении того, как на самом деле работает безопасность в этих протоколах.

То, что произошло, было прямо: кто-то смог скомпрометировать приватный ключ с правами на эмиссию и, используя его, создал примерно 80 миллионов токенов USR без какой-либо поддержки. USR — это стейблкоин протокола, так что можно представить давление, которое это создало на цену. Это не ошибка в коде смарт-контракта, а сбой инфраструктуры off-chain. Вот что интересно, потому что многие считают, что если код прошел аудит, значит всё в порядке. Но реальность гораздо сложнее.

Что действительно сработало — это реакция команды. Они обнаружили аномальную активность относительно быстро и выполнили экстренную остановку контракта. Затем сожгли примерно 9 миллионов фальшивых токенов, находившихся на кошельке злоумышленника. Этот шаг был стратегическим: снизить давление продаж и ограничить потенциальный ущерб. В итоге подтвержденные потери составили около 500 тысяч долларов, что по сравнению с 80 миллионами созданных токенов показывает, что системы мониторинга сработали довольно хорошо.

Но это открывает более глубокий разговор о безопасности в DeFi. Протокол управлял примерно 141 миллионом активов в целом, так что хотя подтвержденные потери были ограничены, хакерская атака ясно показала, почему управление приватными ключами — самое слабое звено. Эксперты уже много лет говорят одно и то же: мультиподписи, модули аппаратной безопасности, ротация ключей. Но, похоже, не все реализуют это с необходимой строгостью.

Вероятно, кто-то получил доступ к этому приватному ключу через фишинг, вредоносное ПО на машинах разработчиков или что-то подобное. Вектор атаки почти всегда один и тот же: люди. А это сложнее всего проверить, чем смарт-контракт.

Подобные инциденты всегда вызывают более широкие последствия. Временно снижается доверие к менее известным алгоритмическим стейблкоинам, что обычно выгодно более крупным и регулируемым эмитентам. Также это ускоряет дискуссию о регуляторном надзоре, потому что регуляторы используют такие случаи как аргумент в пользу более строгого контроля.

Ясный урок — технологические инновации в крипте должны сопровождаться такой же высокой степенью операционной безопасности. Недостаточно только аудированных контрактов, если ваша административная инфраструктура скомпрометирована. В будущем, вероятно, появятся более продвинутые системы обнаружения в реальном времени и автоматические размыкатели, которые будут останавливать подозрительную деятельность до вмешательства человека.

Для сообщества DeFi этот хак протокола Resolv стал неприятным, но необходимым напоминанием о том, что риски не всегда находятся там, где мы ожидаем.