Разбор инцидента Resolv: злоумышленники похитили $25 млн в ETH, использовав украденные учетные данные
Resolv опубликовала итоги расследования атаки на инфраструктуру протокола, произошедшей 22 марта 2026 года. По данным команды, злоумышленники получили доступ к системам подписания транзакций, выпустили 80 млн USR и оперативно вывели около $25 млн в ETH.
Как следует из отчета, проникновение началось с компрометации стороннего проекта, связанного с учетной записью подрядчика. Это привело к утечке учетных данных GitHub и доступу во внутренние репозитории. Прямое развертывание кода в продакшен оказалось заблокировано защитными механизмами, после чего атакующие изменили тактику и внедрили вредоносный workflow для скрытного извлечения чувствительных данных.
Далее злоумышленники закрепились в облачных системах, провели картирование инфраструктуры и нацелились на API-ключи. Завершающим шагом стало повышение привилегий через изменение политик доступа, привязанных к ключу подписания, что дало возможность санкционировать операции минтинга.
После получения контроля над подписью первая транзакция была выполнена в 02:21 UTC — было выпущено 50 млн USR. Вскоре токены начали конвертировать в ETH через несколько кошельков и децентрализованные биржи. В 03:41 UTC прошла вторая транзакция с выпуском еще 30 млн USR. По оценке Resolv, конвертация заняла около 80 минут, суммарный вывод составил порядка $25 млн.
Системы мониторинга рано отметили аномальную активность, что запустило реагирование: были остановлены бэкенд-сервисы и начата подготовка к приостановке контрактов. Resolv сообщила, что к 05:30 UTC скомпрометированные учетные данные были отозваны и доступ атакующих прекращен. Команда также приостановила релевантные смарт-контракты и отключила затронутые элементы инфраструктуры.
После локализации инцидента протокол нейтрализовал около 46 млн USR за счет сжигания токенов и механизмов черного списка. Владельцам USR, державшим токены до взлома, обещана полная компенсация; большинство погашений уже обработано.
К расследованию подключены внешние компании Hypernative, Hexens, MixBytes и SEAL 911. Дополнительные проверки с участием Mandiant и ZeroShadow сосредоточены на укреплении безопасности инфраструктуры и трассировке средств. Resolv отмечает, что операции протокола остаются на паузе до завершения форензики и обновления систем.
