Resolv Labs تایید کرد که یک بهره‌برداری 25 میلیون دلاری 80 میلیون توکن USR بدون پشتوانه ایجاد کرد و اتصال به دلار را شکست

استیبل کوینی که با قیمت 1 دلار معامله می‌شد، در برخی استخرها به کسری از یک سنت سقوط کرد. مکانیسم پشت آن ارزش درک دقیق دارد.

چگونه حمله کار کرد

Resolv Labs یک آسیب‌پذیری امنیتی را که هدف آن تابع مینت قرارداد استیبل کوین USR بود، تأیید کرد. حمله در دو مرحله اجرا شد. در مرحله اول، مهاجم تقریباً 100,000 دلار USDC را برای مینت 50 میلیون توکن USR از طریق توابع requestSwap و completeSwap پروتکل استفاده کرد، با نسبت تقریبی 500 به 1 بین سرمایه مستقر شده و توکن‌های تولید شده. شرکت امنیتی PeckShield کمی بعد تراکنش دومی را شناسایی کرد که در آن مهاجم 30 میلیون USR اضافی مینت کرد و مجموع صدور غیرمجاز را به 80 میلیون توکن رساند.

تحلیلگران D2 Finance سه مسیر احتمالی برای این نقض شناسایی کردند: یک اوراکل به خطر افتاده که داده‌های قیمت نادرست را به تابع مینت تغذیه می‌کرد، یک امضاکننده آف چین درز شده که اعتبارنامه‌های آن مینت بدون پشتوانه مشروع را مجاز می‌کرد، یا غیبت حیاتی اعتبارسنجی مقدار در طول فرآیند مینت. هر یک از این سه می‌توانست به مهاجم اجازه دهد کنترل‌هایی را که باید از صدور بدون پشتوانه در آن مقیاس جلوگیری می‌کردند، دور بزند. تحقیقات در جریان است و هیچ علت واحدی به صورت عمومی تأیید نشده است.

از دست دادن ارزش و هزینه آن

پیامدهای تزریق 80 میلیون توکن بدون پشتوانه به زیرساخت نقدینگی USR فوری بود. USR از ثبات 1.00 دلاری خود سقوط کرد و در برخی پلتفرم‌ها تا 0.257 دلار معامله شد. در استخر USR/USDC در Curve Finance، جایی که نقدینگی متمرکز تأثیر قیمت را تقویت می‌کند، توکن به دلیل لغزش شدید به تقریباً 0.025 دلار سقوط کرد، زیرا مهاجم توکن‌های مینت شده را به استیبل کوین‌های مشروع تبدیل کرد.

مهاجم با موفقیت حداقل 25 میلیون دلار را با تبدیل USR مینت شده به USDC و USDT و سپس تبدیل آن به تقریباً 11,422 ETH استخراج کرد. 100,000 دلار USDC که برای شروع آسیب‌پذیری استفاده شد، بازگشت حداقل 25 میلیون دلار را ایجاد کرد، بازده 250 برابری نسبت به سرمایه مستقر شده برای اجرای حمله.

Resolv Labs اعلام کرد که دارایی های وثیقه اصلی پروتکل کافی باقی مانده و مستقیماً در آسیب‌پذیری به سرقت نرفته است. آسیب از برداشتن آنچه آنجا بود نیامد، بلکه از ایجاد آنچه نباید آنجا می‌بود و تبدیل آن به ارزش واقعی قبل از اینکه پروتکل بتواند پاسخ دهد، ناشی شد.

دفترکل XRP برای اولین بار از 7.7 میلیون دارنده فراتر می‌رود و فعالیت شبکه به بالاترین سطح پنج هفته اخیر می‌رسد

واکنش پروتکل و پیامدهای بازار

Resolv Labs بلافاصله پس از تأیید نقض، تمام عملکردهای پروتکل را متوقف کرد و مینت بیشتر را متوقف و آسیب اضافی را محدود کرد. تیم اعلام کرد که در حال بررسی آسیب‌پذیری و تلاش برای بازیابی دارایی استخراج شده است، اگرچه بازیابی دارایی تبدیل شده به ETH و منتقل شده از طریق زیرساخت DeFi از نظر تاریخی دشوار است.

پیامدها فراتر از پروتکل خود Resolv گسترش یافت. Euler Labs عملکرد وثیقه USR و RLP را در سراسر پلتفرم خود غیرفعال کرد. Venus Protocol معاملات USR را به طور کامل به حالت تعلیق درآورد تا از کاربران در برابر قرار گرفتن در معرض یک دارایی که ارزش خود را از دست داده محافظت کند. این واکنش‌ها ماهیت به هم پیوسته زیرساخت وثیقه DeFi را منعکس می‌کنند، جایی که آسیب‌پذیری استیبل کوین در یک پروتکل ریسک فوری برای هر پروتکلی ایجاد می‌کند که آن استیبل کوین را به عنوان وثیقه یا جفت معاملاتی پذیرفته است.

این آسیب‌پذیری از الگویی پیروی می‌کند که به طور مکرر در حوادث امنیتی DeFi ظاهر شده است. آسیب‌پذیری در وثیقه اساسی دارایی نبود، بلکه در منطق قرارداد حاکم بر نحوه صدور توکن‌های جدید بود. هنگامی که توابع مینت فاقد اعتبارسنجی کافی هستند، الزام پشتوانه‌ای که به یک استیبل کوین ارزش می‌دهد می‌تواند به طور کامل بدون لمس ذخایر اساسی دور زده شود. هزینه ورودی 100,000 دلار و خروج 25 میلیون دلار تأیید می‌کند که چقدر می‌تواند این آسیب‌پذیری نامتقارن باشد وقتی که شناسایی نشود.

پست Resolv Labs تأیید کرد که یک آسیب‌پذیری 25 میلیون دلاری که 80 میلیون توکن USR بدون پشتوانه مینت کرد و ثبات دلاری را شکست، ابتدا در ETHNews منتشر شد.