Resolv-USR-Exploit: 50 Mio. unbesicherte Token geprägt, Kurs verliert Bindung
Resolv Labs hat am Sonntag einen Sicherheitsvorfall bestätigt: Angreifer nutzten eine Schwachstelle in einem Smart Contract aus und prägten 50 Millionen unbesicherte USR-Token. Betroffen war das Ausgabesystem des Tokens, nicht der Kollateral-Pool. Das Protokoll wurde umgehend pausiert; Untersuchungen und Maßnahmen zur Eindämmung und Wiederherstellung laufen.
Im Zentrum des Angriffs stand die Minting-Logik von USR, die eine anomale Token-Erzeugung ermöglichte. Der Onchain-Ermittler Ai9684xtpa berichtete, dass aus 100.000 USDC insgesamt 50 Millionen USR generiert wurden, eine 500-fache Verstärkung der Ausgabe. Die Sicherheitsfirma PeckShield erklärte zudem, dass weitere 30 Millionen USR geprägt worden seien. Resolv Labs betonte, die hinterlegten Sicherheiten seien intakt geblieben; aus dem Backing-Pool seien keine Vermögenswerte abgeflossen.
D2 Finance nennt mehrere mögliche Ursachen, darunter Oracle-Manipulation, kompromittierte Offchain-Signaturen oder fehlende Validierungsprüfungen. Nach dem Exploit wurden die Token rasch über verschiedene Protokolle bewegt: Laut D2 Finance tauschten die Angreifer USR zunächst in USDC und USDT und konvertierten anschließend in Ether. Die schnellen Verkäufe belasteten die Liquiditätspools stark.
Innerhalb weniger Minuten verlor USR die Dollar-Bindung. Der Kurs fiel auf 0,257 US-Dollar, ein Rückgang um 74,2%. In einzelnen Pools rutschte der Preis aufgrund von Slippage und Liquiditätsstress kurzzeitig bis auf 0,025 US-Dollar ab. Dieses Tief wurde nur 17 Minuten nach dem ersten Minting-Ereignis erreicht. Im Curve-Finance-Pool, dem aktivsten Markt für USR, kam es in dieser Phase zu besonders hohem Handelsaufkommen.
Resolv Labs erklärte, Eindämmung und Schadensanalyse hätten oberste Priorität; zugleich wolle man legitime Nutzer schützen und die Systemschwachstellen überprüfen. Der Betrieb bleibt vorerst ausgesetzt. Der USR-Kurs hat sich inzwischen teilweise erholt und lag zuletzt bei etwa 0,86 US-Dollar, weiterhin unter dem Zielwert von 1 US-Dollar. D2 Finance schätzt, dass die Angreifer rund 25 Millionen US-Dollar abgeschöpft haben. Der Vorfall folgt auf einen Rückgang von Krypto-Exploits Anfang Februar, unterstreicht aber die anhaltenden Risiken durch Smart-Contract-Schwachstellen.
