黑客利用协议漏洞实现巨额套现

北京时间今日10:21左右，Resolv Labs项目遭受黑客攻击。该协议采用Delta中性策略发行稳定币USR，攻击者通过一个以0x04A2开头的地址，仅投入10万枚USDC便成功铸造5000万枚USR。事件引发市场剧烈波动，USR价格一度跌至0.25美元，随后回升至约0.8美元。与此同时，RESOLV代币短时跌幅接近10%。 黑客在首次攻击后再次使用相同手法，以10万枚USDC铸造3000万枚USR。随着稳定币大幅脱锚，套利交易者迅速行动，导致Morpho平台上多个以USR、wstUSR为抵押品的借贷市场几乎被清空。BNB Chain上的Lista DAO也因此暂停新借款请求。 受影响范围不仅限于借贷协议。根据协议设计，用户还可铸造高风险高收益的RLP代币，其流通量接近3000万枚。其中最大持有者Stream Finance持有超1300万枚，净风险敞口约为1700万美元。此前因xUSD暴雷受损的Stream Finance可能再度面临重大损失。 截至撰文时，黑客已将所得USR兑换为USDC和USDT，并持续买入以太坊，累计购入超1万枚。通过20万枚USDC，实现超过2000万美元资产套现，在当前熊市环境中完成一次“百倍币”级别的操作。

机制缺陷成安全突破口

此次攻击并非由极端行情触发，而是源于协议设计中对关键参数的信任缺失。尽管去年10月已有类似稳定币因自动降杠杆机制（ADL）出现抵押品损失，但本次攻击的根本原因在于铸造流程中的逻辑漏洞。 据Grok分析，用户发起铸造请求时调用requestMint函数，需提供存入代币地址、数量及最低期望产出金额。随后，项目方后端SERVICE_ROLE负责监控请求，并通过Pyth预言机验证资产价值，再决定实际铸造数量。然而，铸造合约完全信任该角色提供的_mintAmount数值，未设置上限，也未在链上进行二次验证，直接执行mint(_mintAmount)。 YAM初步判断，攻击极可能是由于后端SERVICE_ROLE被黑客控制所致。这可能源于内部预言机失控、密钥泄露或监守自盗。一旦该角色被攻破，攻击者即可任意设定铸造数量，从而实现以极低成本大规模增发稳定币。 根本问题在于，协议在设计时未考虑外部输入参数可能被恶意操控的情况。即使来自项目方自身的后端系统，也不应被无条件信任。所有涉及资产生成的关键参数，必须具备链上验证机制，防止单一信任点成为系统性风险。

危机应对机制滞后暴露短板

除技术漏洞外，项目方在应急响应方面亦显不足。从首次攻击完成到协议暂停，历时约3小时，其中近1小时用于收集多签交易所需的4个签名。这一延迟被社区广泛质疑。 YAM指出，紧急暂停功能应具备快速响应能力，建议仅需单签即可触发，权限应分配给团队成员或可信外部运营人员，以覆盖不同时区的实时监控需求。引入第三方链上行为监控工具或部署具备紧急暂停权限的自动化系统，是此类事件带来的关键教训。 此次事件警示所有DeFi项目：攻击手段已超越传统合约漏洞，转向对信任链条的精准打击。任何环节若存在单一信任假设，都可能成为攻击入口。未来协议设计必须坚持‘最小信任’原则，对所有参数来源实施多重验证，即便是项目方自身运营的部分也不例外。