Resolv DeFi-Plattform erleidet Verlust von 24,5 Millionen Dollar durch Cyberangriff
Resolv DeFi-Plattform gehackt – erhebliche Verluste entstanden
Die Decentralized-Finance-Plattform (DeFi) Resolv hat kürzlich einen Cyberangriff bestätigt, der zu einem erheblichen finanziellen Schaden geführt hat. Ein böswilliger Akteur verschaffte sich unbefugten Zugang zur Infrastruktur des Unternehmens und ermöglichte so die Erstellung von USR-Stablecoins im Wert von 80 Millionen Dollar ohne angemessene Deckung. Der USR-Stablecoin, der auf Parität mit dem US-Dollar ausgelegt ist, verlor nach dem Vorfall stark an Wert. Der Angreifer tauschte die unrechtmäßig geprägten Coins gegen rund 11.408 ETH ein, was einem Wert von ungefähr 24,5 Millionen Dollar entspricht.
Details des Angriffs und unmittelbare Folgen
Resolv veröffentlichte eine Erklärung, in der die Sicherheitsverletzung eingeräumt wird. Nach dem Angriff verlor der USR-Stablecoin seine Bindung an den US-Dollar, und sein Wert fiel auf etwa 26 Cent. Das Unternehmen erklärte, dass der Angreifer einen privaten Schlüssel kompromittiert hatte, der ihm unbefugten Zugang zu den Systemen von Resolv verschaffte und es ihm ermöglichte, den unbesicherten USR zu prägen.
Resolv hat Maßnahmen eingeleitet, um die unrechtmäßig erlangten Coins zu verfolgen und eine weitere Verbreitung des ungedeckten USR zu verhindern. In dem Versuch, die gestohlenen Vermögenswerte zurückzuerlangen, sandte Resolv dem Angreifer eine Nachricht über die Blockchain. Das Unternehmen bot eine Prämie von 10 %, entsprechend 2,45 Millionen Dollar, aus den 24,5 Millionen Dollar in ETH an, sofern der Angreifer die verbleibenden Mittel zurückgeben und alle weiteren Aktivitäten mit den ausgebeuteten Vermögenswerten einstellen würde.
Resolv betonte, dass die Ausnutzung der Schwachstelle trotz deren Vorhandensein mit klar böswilliger Absicht erfolgte, was zur Schaffung ungedeckter Vermögenswerte und zu potenziell negativen Auswirkungen auf den Sekundärmarkt geführt habe. Die Plattform forderte den Angreifer auf, alle verbleibenden USR innerhalb von 72 Stunden zurückzuübertragen. Resolv warnte zudem vor einer möglichen Zusammenarbeit mit zentralisierten Börsen zur Einschränkung oder Einfrierung der illegalen Vermögenswerte und drohte damit, Strafverfolgungsbehörden sowie Blockchain-Analysefirmen einzuschalten und rechtliche Schritte einzuleiten.
Analyse durch Chainalysis
Das Blockchain-Sicherheitsunternehmen Chainalysis führte eine Post-mortem-Analyse des Vorfalls durch und bezeichnete ihn als einen „Fall übermäßigen Vertrauens in Off-Chain-Infrastruktur". Chainalysis stellte fest, dass Resolv zwar standardmäßige Sicherheitsmaßnahmen implementiert und bis zu 18 Audits durchlaufen hatte, der Hack jedoch grundlegend einfach war: Ein Angreifer erlangte einen Schlüssel, nutzte ihn zur Generierung ungedeckter Währung und verkaufte diese, bevor der Angriff entdeckt wurde.
Laut Chainalysis hinterlegte der Angreifer zunächst einen relativ kleinen Betrag – zwischen 100.000 und 200.000 Dollar in USDC –, um mit dem USR-Stablecoin-Prägungssystem von Resolv zu interagieren. Normalerweise hinterlegen Nutzer USDC und erhalten einen entsprechenden Betrag in USR. In diesem Fall war der Angreifer jedoch in der Lage, rund 80 Millionen USR-Token zu prägen, was die durch seine Einzahlung gerechtfertigte Menge erheblich überstieg.
Chainalysis erklärte, dass dies möglich war, weil die Prägegenehmigungen auf einem externen Dienst beruhten, der einen privaten Schlüssel zur Autorisierung der zu prägenden USR-Menge nutzte. Sobald dieser private Schlüssel kompromittiert war, konnte Resolv's System keine Obergrenze für die Menge des zu prägenden USR mehr durchsetzen.
Reaktion und Wiederherstellungsmaßnahmen von Resolv
Am Montagnachmittag kündigte Resolv eine vorübergehende Pause seiner Anwendung an, um die Auswirkungen des Vorfalls zu begrenzen. Das Unternehmen erklärte, dass alle Funktionalitäten wiederhergestellt würden, sobald ein Protokoll-Wiederherstellungsplan abgeschlossen und die Anwendung als sicher für die weitere Nutzung eingestuft sei.
Resolv hat Kontakt zu allen verifizierten Nutzern aufgenommen, die zum Zeitpunkt des Vorfalls USR hielten, und Rückzahlungen wurden ermöglicht. Die Plattform riet Kunden, den Handel mit USR oder anderen Resolv-Token zu unterlassen, während sie daran arbeitet, die unrechtmäßig erzeugten Coins zurückzuerlangen.