Стейблкоїн USR різко впав і розв'язався! Resolv розкрив «вразливість при мінтингу» та хакери викрали 25 мільйонів доларів

Згідно з доповідями кількох провайдерів безпеки блокчейну, у неділю протокол DeFi Resolv зазнав уразливості. Хакери зуміли з мінімальними витратами створити 80 мільйонів незастрахованих стабільних монет USR, швидко їх продали і отримали близько 25 мільйонів доларів США. Це не лише спричинило різке розхитування курсу USR, а й викликало ланцюгову реакцію на ринку позик.

Атака сталася приблизно о 10:21 ранку 22 березня. Дані з блокчейну показують, що хакери спочатку внесли 100 000 USDC до смарт-контракту Resolv, але отримали у відповідь до 50 мільйонів USR — у 500 разів більше за нормальний обмінний курс. Потім, відчувши слабкість, вони додатково створили ще 30 мільйонів USR.

USR від @ResolvLabs торгується по одному центу, хтось створив 50 мільйонів USR за 100 тисяч USDC pic.twitter.com/fXtjZgxzQk

— YAM 🌱 (@yieldsandmore) 22 березня 2026

Як стабільна монета, яка заявляє про прив’язку до долара у співвідношенні 1:1, USR не покладається на традиційні валютні резерви. Замість цього її цінність підтримується за допомогою стратегій «Delta-нейтрального хеджування» (Delta-neutral hedging), що базуються на Ethereum і Bitcoin для зменшення ризиків коливань цін.

За даними DEX Screener, після створення перших токенів, USR у найбільш ліквідному пулі Curve Finance за 17 хвилин впав до 0,025 долара. Хоча згодом він частково відновився до близько 0,85 долара, станом на час написання статті він ще не повернувся до прив’язки в 1 долар.

Хакери майстерно відмивають гроші, офіційні особи стверджують, що «пул забезпечення цілісний» — викликає сумніви
Після здобуття коштів, хакери (адреса гаманця починається з 0x04A2) швидко обміняли ці створені з нуля USR на USDC і USDT на децентралізованих біржах, а потім повністю конвертували їх у Ethereum. Дані з блокчейну показують, що у їхньому гаманці вже накопичено понад 11 409 ETH (близько 23,7 мільйонів доларів).

Після розголосу Resolv Labs опублікувала заяву на платформі X, в якій повідомила, що команда тимчасово призупинила всі функції протоколу. Вони запевнили, що «пул забезпечення цілісний», жодних втрат основних активів не сталося, і цю інцидент кваліфікували як «проблему механізму випуску USR».

Ми наразі досліджуємо інцидент безпеки, пов’язаний з несанкціонованим створенням USR.

На даний момент:

Пул забезпечення залишається цілісним. Втрата основних активів відсутня.

Проблема, здається, обмежена механізмом випуску USR.

Наші пріоритети:

1)…

— Resolv Labs (@ResolvLabs) 22 березня 2026

Керування правами доступу — імітація відсутності контролю
Хоча офіційні особи намагаються зменшити значущість події, експерти з безпеки не погоджуються. Аналітик блокчейну Andrew Hong зазначив, що вразливість виникла через привілейований обліковий запис «SERVICE_ROLE», який відповідає за обробку запитів на обмін. Вражає те, що таке важливе право контролюється звичайним зовнішнім гаманцем (EOA), а не більш безпечним мультипідписним обліковим записом. Ще гірше — контракт для створення токенів не має механізмів перевірки цін через оракул, контролю кількості або встановлених лімітів.

Інвестиційний фонд DeFi D2 Finance назвав три можливі причини: зловмисне маніпулювання оракулом, злом підписувача поза ланцюгом або відсутність перевірки суми під час запиту на створення токенів і їх виконання. Першим, хто викрив цю проблему, був YieldsAndMore, який висловив здивування, що протокол Resolv із його обсягами має таку слабку систему безпеки.

Генеральний директор компанії Cyvers Deddy Lavid зазначив: «Саме тут проявляється справжній ризик стабільних монет. Регулярні аудити контрактів — це далеко не все. Без моніторингу процесів створення і постачання токенів у реальному часі команда залишається беззахисною, коли настає криза.»

Несподівана катастрофа! Невидима інфляція грабує дрібних інвесторів, ланцюгова реакція вражає ринок позик
Хоча офіційна позиція Resolv стверджує, що «пул забезпечення цілісний», ця заява недооцінює масштаб проблеми. Аналіз блокчейну показує, що атака не була прямим «злочином» — вона використовувала більш приховану тактику «інфляції пропозиції». 80 мільйонів нових токенів з’явилися з нуля, що миттєво розбавило їхню цінність у обігу. Продажі хакерами ще більше виснажили ліквідність пулу. Це означає, що інвестори, які тримали USR у момент атаки, втратили значну частину своїх активів.

Ця криза швидко поширилася на інші платформи позик DeFi. Оскільки USR і його похідні токени визнаються як застави на багатьох платформах (наприклад, Morpho, Gauntlet), спекулянти скористалися ситуацією, купуючи USR за низькими цінами і використовуючи їх у системах позик. Вони застосовували фіксовану ціну 1 USR = 1 долар і позичали реальні долари USDC, що призвело до виснаження ліквідних резервів.

Раніше залучали десятки мільйонів і проходили 14 топових аудитів — тепер втрачають репутацію
До атаки протокол Resolv вже зазнавав зниження капіталу. Вартість USR зросла до понад 400 мільйонів доларів у лютому цього року, але перед інцидентом знизилася до приблизно 100 мільйонів доларів.