Resolv Labs 被攻击，DeFi 项目再次遭到利用

Resolv Labs，使用中立策略Delta的穩定幣USR發行方，遭遇攻擊。一個以0x04A2開頭的地址，利用Resolv Labs的協議創造了5000萬USR，使用了100,000 USDC。事件曝光後，USR價格立即下跌至約0.25美元，隨後回升至約0.80美元（撰稿時）。RESOLV代幣的價格也在短時間內下跌近10%。

隨後，黑客又用類似的方法，用100,000 USDC創造了3000萬USR。當USR大幅貶值時，套利者迅速行動，許多支持USR、wstUSR及其他抵押資產的借貸市場幾乎枯竭。BNB鏈上的Lista DAO也暫停了新借款請求。

這些借貸協議並非唯一受影響的。Resolv Labs的協議也允許用戶創建RLP代幣，帶來更大的價格波動和更高的利潤，但也使他們須對由協議產生的損失承擔法律責任。目前，市場上流通近3000萬RLP代幣，其中Stream Finance持有超過1300萬，約代表1700萬美元的淨風險。

沒錯，曾因xUSD遭受重大損失的Stream Finance，可能很快又要面臨另一波衝擊。截止撰稿時，黑客已將USR兌換成USDC和USDT，並持續購買以太坊，已購得超過1萬枚。利用20萬USDC，黑客已回收超過2000萬美元資產，在熊市中找到了“百倍獲利的貨幣”。

再次，一個漏洞被利用，源於“缺乏嚴密性”。去年10月11日的劇烈下跌，導致多個以Delta中立策略發行的穩定幣因ADL（自動減杠杆）而遭受抵押品損失。一些使用山寨幣作為資產的項目甚至損失更大，甚至有些項目完全消失。

此次被攻擊的Resolv Labs也採用類似機制發行USR。該項目在2025年4月宣布完成由Cyber.Fund和Maven11領投的1000萬美元種子輪融資，並有Coinbase Ventures參與，於5月底和6月初推出了RESOLV代幣。

然而，Resolv Labs遭攻擊的原因並非市場條件嚴峻，而是因為USR創建機制“缺乏嚴密性”。目前尚無安全公司或官方機構分析此次攻擊的具體原因。DeFi社群YAM的初步分析顯示，攻擊可能源於黑客控制了SERVICE_ROLE函數，該角色在協議的輔助模塊中用於提供合約參數。

Grok的分析指出，當用戶創建USR時，會在鏈上發出請求並調用合約的requestMint函數，參數包括：
_depositTokenAddress：資產存入地址；
_amount：存入數量；
_minMintAmount：預期最小產生的USR數量（滑點控制點）。
之後，用戶將USDC或USDT發送到合約。項目的輔助模塊SERVICE_ROLE會監控請求，利用Pyth預言機檢查資產價值，然後調用completeMint或completeSwap來確定實際產生的USR數量。

問題在於，合約完全信任由SERVICE_ROLE提供的mintAmount，假設該數據已由Pyth在鏈外驗證。因此，合約沒有設置上限或用鏈上預言機進行二次驗證，而是直接執行mint(_mintAmount)。

基於此，YAM懷疑黑客已控制了SERVICE_ROLE，該角色本應由項目團隊掌控（可能由於內部預言機系統故障、內部盜竊或密鑰被盜），並在創建過程中直接設置_mintAmount為5000萬，從而實現用100,000 USDC創造出5000萬USR的攻擊。

最後，Grok總結指出，Resolv未考慮到在設計協議時，接收USR創建請求的地址（或合約）可能被黑客控制的可能性。當請求送達最終產生USR的合約時，沒有設置最大產生數量，也未用鏈上預言機進行二次驗證，而是完全信任SERVICE_ROLE提供的所有參數。

預防措施也不充分。除了推測攻擊原因外，YAM還指出團隊在危機應對方面準備不足。YAM在X（前Twitter）上表示，Resolv Labs在初次攻擊後僅暫停協議三小時，其中約一小時是為了收集四個多重簽名。YAM認為，緊急暫停應只需一個簽名，且此權限應交由團隊成員或可信外部操作者，這樣能提升鏈上異常的察覺能力，加快暫停速度，並更好涵蓋不同時區。

雖然只用一個簽名暫停協議的建議略顯激進，但在緊急情況下，要求多個不同時區的簽名來暫停協議，可能會造成嚴重延遲。引入可信第三方持續監控鏈上行為，或使用具有緊急暫停權限的監控工具，都是從這次事件中吸取的教訓。

長期以來，黑客對DeFi協議的攻擊多集中於合約漏洞。Resolv Labs的事件是一個警示：協議的安全性不應假設為絕對可信，所有涉及參數的鏈上鏈下鏈接都必須經過至少兩層驗證，即使是由團隊自己運營的伺服器也不例外。