Un exploit en Resolv USR permite acuñar 50 millones de tokens y provoca un fuerte "depeg"
Resolv Labs confirmó el domingo un incidente de seguridad tras detectarse la acuñación de 50 millones de USR sin respaldo mediante la explotación de un contrato. La compañía aseguró que el problema afectó al sistema de emisión del token, no al pool de colateral, y que el protocolo se pausó de inmediato mientras avanzan la investigación y las tareas de recuperación.
El ataque se centró en la lógica de "minting", que permitió la creación anómala de tokens. El investigador onchain Ai9684xtpa señaló que 100.000 USDC llegaron a generar 50 millones de USR, una amplificación de 500 veces en la emisión. La firma de seguridad PeckShield añadió que los atacantes acuñaron otros 30 millones de USR. Resolv Labs insistió en que el colateral subyacente permaneció intacto y que no se perdieron activos del fondo de respaldo.
D2 Finance planteó varias hipótesis sobre el origen del fallo, entre ellas manipulación de oráculos, compromiso de la firma offchain o ausencia de comprobaciones de validación.
Tras la acuñación, los atacantes movieron rápidamente los fondos entre protocolos. Según D2 Finance, canjearon USR por USDC y USDT y después convirtieron los activos a Ether, intensificando la presión vendedora en los pools de liquidez. En cuestión de minutos, USR perdió la paridad con el dólar: cayó hasta 0,257 dólares, un descenso del 74,2%, y en algunos pools llegó a marcar mínimos de 0,025 dólares por el deslizamiento y la tensión de liquidez. El mínimo se alcanzó apenas 17 minutos después del evento inicial. El pool de Curve Finance, su mercado más activo, registró un volumen de operaciones especialmente elevado durante el episodio.
Resolv Labs indicó que la contención y la evaluación del impacto siguen siendo las prioridades, con el objetivo de proteger a los usuarios legítimos y revisar las vulnerabilidades del sistema. El protocolo continúa pausado mientras prosiguen las pesquisas. En el mercado, USR ha recuperado parte del terreno y recientemente cotizaba cerca de 0,86 dólares, todavía por debajo del objetivo de 1 dólar. D2 Finance estimó que los atacantes extrajeron alrededor de 25 millones de dólares.
El incidente llega después de una caída de los exploits cripto a principios de febrero, pero vuelve a poner el foco en los riesgos persistentes asociados a vulnerabilidades en contratos inteligentes.
