Я только что понял кое-что тревожное о том, как развивался DeFi. Взлом Resolv в конце марта — отличный пример того, почему нам нужно полностью пересмотреть предположения о безопасности. Вот что произошло и почему это важнее, чем очередная ошибка в смарт-контракте.

22 марта протокол Resolv был сильно атакован. Злоумышленник создал примерно 80 миллионов стабильных монет USR практически без обеспечения, извлек около $25 миллионов в стоимости, и оставил токен торговаться по цене $0.20 — падение на 80%. Самое удивительное? Код смарт-контракта работал точно так, как было задумано. Это не была уязвимость в коде. Это было что-то более худшее.

Настоящая проблема кроется в том, как Resolv спроектировали свою систему эмиссии. Когда вы хотели создать USR, это не была простая транзакция в блокчейне. Вместо этого есть двухэтапный процесс: сначала вы вносите USDC на контракт-каунтер и запрашиваете эмиссию. Затем внешняя служба с привилегированным приватным ключом утверждает, сколько USR реально будет создано. Сам контракт не имел никаких ограничений — ни верхних лимитов, ни проверок соотношений, ни интеграции с оракулами, ничего. Только проверка подписи. Любая сумма, подписанная этим ключом, теоретически могла быть создана.

Путь злоумышленника был почти предсказуемо прост, как только у него появился ключ. Он взломал окружение AWS KMS Resolv, где хранятся ключи для подписи. Попав внутрь, он мог авторизовать что угодно. Он внес примерно $100-200K USDC в нескольких транзакциях, а затем использовал украденный ключ SERVICE_ROLE для подписи создания 50 миллионов USR в одной транзакции и 30 миллионов — в другой. Итого 80 миллионов токенов при минимальном обеспечении.

Дальше — отмывание денег по учебнику. Они конвертировали USR в wstUSR — дериватив для стекинга(, затем обменяли его на стейблоконы, потом на ETH, используя множество пулов DEX и мостов, чтобы замаскировать следы. На данный момент у них в распоряжении около 11 400 ETH примерно на ) миллионов, а также еще $1.3 миллиона в wstUSR, лежащие на их адресе.

Реакция рынка была мгновенной и жестокой. Весь этот необеспеченный запас сразу попал в ликвидные пулы, и паритет USR рухнул. Он немного восстановился до $0.56 за несколько часов, но ущерб был нанесен. Resolv пришлось приостановить все операции, чтобы остановить дальнейшие потери.

Больше всего меня беспокоит то, что Resolv поступили по всем стандартам. Восемнадцать аудитов безопасности. Все обычные меры безопасности. И всё равно это произошло, потому что настоящая уязвимость была не в коде — а в инфраструктурных предположениях. По мере усложнения DeFi и увеличения зависимости от внешних сервисов, облачной инфраструктуры и привилегированных ключей, поверхность атаки значительно расширяется за пределы блокчейна.

Урок жестокий. В пространстве, где эксплойты могут выполняться за считанные минуты, а вы даже не понимаете, что кровоточите, пока не поздно, нужны системы мониторинга в реальном времени и автоматические системы реагирования. Не просто приятные дополнения, а абсолютная необходимость. Если бы Resolv имели системы, отслеживающие аномальные соотношения эмиссии — например, если бы $24 депозит внезапно разрешил создание 50 миллионов токенов, — они могли бы поймать это мгновенно. Или если бы они настроили автоматические паузы при необычных событиях эмиссии, 80 миллионов USR вообще бы не попали на рынок.

Это новая реальность. Смарт-контракты — безопасны. Инфраструктура — слабое место. И когда безопасность вашего протокола зависит от того, чтобы ключи хранились в облаке, вы уже не просто покупаете аудиты. Вы ставите всё на скорость обнаружения и реагирования. Resolv усвоили этот урок на собственном опыте.