Resolv Exploit Update để lại các câu hỏi về khôi phục khóa

• Resolv cho phép khai thác được xử lý, cho phép đúc 80 triệu USR, với 98% các khoản hoàn tiền của những người nắm giữ có trong danh sách trắng đã được hoàn tất.

• Người dùng không nằm trong danh sách trắng và người dùng sau khi bị khai thác phải đối mặt với tình trạng chậm trễ khi các giải pháp kỹ thuật và pháp lý đang được phát triển.

• Không tìm thấy bằng chứng về kẻ xâm nhập nội bộ, nhưng việc khôi phục đối với người nắm giữ RLP vẫn chưa chắc chắn nếu không có mốc thời gian.

Resolv Labs đã đưa ra một bản cập nhật mới sau khi một vụ khai thác cho phép kẻ tấn công đúc 80 triệu token USR bằng một khóa riêng bị xâm phạm. CEO Ivan Kozlov đã nói chuyện với người dùng trong tuần này, nêu rõ tiến độ hoàn tiền và các cuộc điều tra đang diễn ra. Sự cố, lần đầu được công bố gần đây, vẫn tiếp tục ảnh hưởng đến nhiều nhóm người dùng khi các nỗ lực khôi phục được triển khai mà chưa có mốc thời gian rõ ràng.

Quy trình hoàn tiền diễn ra theo từng giai đoạn

Theo Resolv Labs, nhóm đã ưu tiên các người nắm giữ USR có trong danh sách trắng trong giai đoạn đầu của các đợt hoàn tiền. Các ví đã được xác minh cho phép xử lý thủ công trong vòng 24 giờ, giúp hạn chế gián đoạn thị trường trên diện rộng. Kozlov xác nhận rằng hiện khoảng 98% các đợt hoàn tiền này đã hoàn tất.

Tuy nhiên, những người nắm giữ trước khi bị khai thác không nằm trong danh sách trắng vẫn đang ở giai đoạn chờ. Kozlov cho biết cam kết hoàn tiền 1:1 tương tự cũng áp dụng cho họ. Ông cho biết giải pháp kỹ thuật cho những người dùng này vẫn đang được phát triển.

Trong khi đó, những người nắm giữ sau khi bị khai thác, nhà cung cấp thanh khoản và các bên tham gia RLP phải đối mặt với một quy trình phức tạp hơn. Kozlov cho biết các trường hợp này cần sự phối hợp trên nhiều lớp pháp lý, kỹ thuật và hệ sinh thái. Do đó, chưa có một giải pháp đơn lẻ nào được chốt.

Cuộc điều tra không tìm thấy bằng chứng về kẻ nội gián

Trong lúc đó, các câu hỏi về việc có kẻ nội gián tham gia đã thu hút sự chú ý. Kozlov cho biết, cho đến nay, các cuộc điều tra vẫn chưa tìm thấy bằng chứng về hành vi sai trái từ bên trong. Cuộc rà soát vẫn tiếp tục với công ty an ninh mạng Mandiant và nhóm tình báo blockchain zeroShadow.

Cuộc tấn công đã khai thác một khóa riêng gắn với vai trò đúc có đặc quyền. Tài khoản này không có bảo vệ chữ ký đa cấp và không có hạn mức đúc (mint) trên chuỗi. Do đó, kẻ tấn công có thể ủy quyền việc tạo token số lượng lớn mà không có ràng buộc.

Trước phản ứng của vụ việc, Resolv đã tham gia các cố vấn pháp lý, bao gồm Paul Hastings và Carey Olsen. Kozlov cho biết các cân nhắc pháp lý hiện định hình nội dung truyền thông, giới hạn những gì nhóm có thể công bố công khai.

Vẫn còn nhiều bất định cho người nắm giữ RLP

Sự chú ý cũng đã chuyển sang những người nắm giữ token RLP, nhóm đã gánh chịu các khoản lỗ ban đầu theo thiết kế. Hiện tại, các đợt hoàn tiền cho RLP vẫn tạm dừng. Kozlov thừa nhận vẫn đang làm việc để xây dựng kế hoạch khôi phục nhưng không cung cấp chi tiết.

Mặc dù trước đó đã đầu tư vào các đợt kiểm toán, giám sát và các chương trình bug bounty, sự cố vẫn xảy ra. Kozlov thừa nhận rằng những biện pháp này đã tỏ ra không đủ trong trường hợp lần này.

Tạm thời, quy trình khôi phục vẫn tiếp tục nhưng không có mốc thời gian xác định, khiến các người dùng bị ảnh hưởng phải chờ thêm các cập nhật.