La stablecoin de Resolv Labs se desploma un 80% mientras el explotador acuña millones en tokens USR sin respaldo

El domingo, el protocolo de finanzas descentralizadas Resolv Labs reveló que el proceso de acuñación de su stablecoin nativa había sido explotado.

El atacante creó 80 millones de tokens USR sin respaldo después de obtener acceso a las claves privadas del proyecto, dijo Resolv Labs el lunes por la mañana.

Con esos tokens acuñados, el atacante luego intercambió los tokens USR por versiones en staking y los intercambió por la stablecoin vinculada al dólar de Circle antes de usar esas tenencias para comprar Ether.

En total, se llevaron aproximadamente $23 millones en Ether, según datos en cadena, y dejaron a los poseedores de tokens USR en la estacada.

CoinGecko muestra que la stablecoin USR ahora cotiza por debajo de $0.4, habiendo caído hasta $0.02.

Las funciones de acuñación y redención del proyecto se han desactivado para mitigar más daños, dijo el equipo de Resolv.

La stablecoin de Resolv Labs mantiene su paridad aprovechando estrategias de trading que equilibran posiciones largas y cortas en activos volátiles.

Cuando los usuarios depositan Ether para acuñar USR, el protocolo abre simultáneamente posiciones cortas iguales — apuestas de que el precio de Ether caerá — de modo que sin importar la volatilidad del activo, el token USR está equilibrado.

Sin embargo, la última explotación tuvo poco que ver con este mecanismo.

Explotación de clave privada

El explotador en Resolv Labs pudo acuñar 80 millones de tokens USR usando entre $100,000 y $200,000 en colateral después de comprometer las claves privadas del proyecto, según Chainalysis.

Pudieron anular la lógica del protocolo después de acceder al servicio de gestión de claves de Resolv en Amazon Web Services.

Las claves privadas son un componente crítico de los smart contracts, ya que permiten a los poseedores realizar las acciones que desean, como acuñar millones de un token específico.

El contrato de acuñación no tenía oracle ni verificaciones de acuñación máxima para prevenir esta acción, según el cofundador del explorador en cadena habilitado por IA Herd, Andrew Whong.

La interoperabilidad contraataca

Resolv Labs y los poseedores de USR no fueron las únicas víctimas de la explotación.

Varios protocolos que habían integrado la stablecoin también fueron gravemente afectados, especialmente aquellos que usan un modelo de curador para generar rendimiento para sus usuarios.

Morpho Labs, un protocolo de préstamos que usa un modelo de curador, proporcionó un claro ejemplo de cómo explotaciones como la de Resolv pueden propagarse a través de DeFi.

El protocolo Morpho permite a gestores de terceros personalizar sus pools de préstamos y establecer sus propios parámetros de seguridad y listados de tokens. Estos gestores se llaman curadores.

El riesgo recae en los curadores de estos pools en lugar de Morpho, si algo sale mal.

"Quiero reiterar que no hay vulnerabilidad en los contratos de Morpho. Son seguros y operan según lo previsto", dijo Merlin Egalite, cofundador de Morpo, el lunes.

"Para orientación sobre bóvedas que puedan tener exposición a USR o activos relacionados con Resolv, recomendamos seguir las comunicaciones relevantes de los curadores."

Gauntlet, Re7 Labs, kpk y 9summits fueron curadores de Morpho que habían creado pools personalizados — llamados bóvedas — con exposición a USR.

En algunos casos, estos curadores tenían servicios de liquidez automatizados que continuaron proporcionando liquidez a sus bóvedas de USR horas después de la explotación, agravando aún más los daños, dijo el fundador de Chaos Labs, Omer Goldberg.

En total, aproximadamente 15 bóvedas con más de $10,000 en liquidez fueron afectadas por la explotación de Resolv, dijo el cofundador de Morpho, Paul Frambot.

"Los curadores han respondido rápidamente a una situación desafiante con el equipo de Morpho asistiendo donde se necesita", dijo.

"Dicho esto, continuaremos trabajando con los curadores para mejorar aún más las herramientas disponibles para ayudarlos en eventos futuros."

Liam Kelly es el corresponsal de DeFi de DL News con sede en Berlín. ¿Tienes un dato? Ponte en contacto en liam@dlnews.com.