La piattaforma Resolv DeFi subisce una perdita di 24,5 milioni di dollari in un attacco informatico
La piattaforma Resolv DeFi violata, causando perdite significative
La piattaforma di finanza decentralizzata (DeFi) Resolv ha recentemente confermato un attacco informatico che ha portato a una sostanziale perdita finanziaria. Un attore malevolo ha ottenuto accesso non autorizzato all'infrastruttura dell'azienda, consentendo la creazione di stablecoin USR del valore di 80 milioni di dollari senza un adeguato supporto. La stablecoin USR, progettata per mantenere la parità con il dollaro statunitense, ha visto il suo valore crollare dopo l'incidente. L'attaccante ha scambiato le monete coniate illecitamente per circa 11.408 ETH, valutati a circa 24,5 milioni di dollari.
Dettagli dell'attacco e conseguenze immediate
Resolv ha emesso una dichiarazione riconoscendo la violazione della sicurezza. Dopo l'attacco, la stablecoin USR si è sganciata dal dollaro statunitense, con il suo valore che è sceso a circa 26 centesimi. L'azienda ha spiegato che l'attaccante ha compromesso una chiave privata, che gli ha concesso accesso non autorizzato ai sistemi di Resolv, permettendo loro di coniare l'USR non collaterizzato.
Resolv ha avviato sforzi per rintracciare le monete ottenute illecitamente e prevenire ulteriori diffusione dell'USR non supportato. Nel tentativo di recuperare gli asset rubati, Resolv ha inviato un messaggio all'attaccante tramite la blockchain. L'azienda ha offerto una ricompensa del 10%, equivalente a 2,45 milioni di dollari, dai 24,5 milioni di dollari in ETH se l'attaccante restituisse i fondi rimanenti e cessasse ogni ulteriore attività con gli asset sfruttati.
Resolv ha sottolineato che, nonostante la presenza di una vulnerabilità, lo sfruttamento è stato effettuato con chiara intenzione malevola, portando alla creazione di asset non supportati e potenziali impatti negativi sul mercato secondario. La piattaforma ha richiesto all'attaccante di trasferire tutti i rimanenti USR entro 72 ore. Resolv ha anche avvertito di una potenziale collaborazione con scambi centralizzati per limitare o congelare gli asset illeciti, e ha minacciato di coinvolgere le forze dell'ordine, le aziende di analisi blockchain e di intraprendere azioni legali.
Analisi di Chainalysis
La società di sicurezza blockchain Chainalysis ha condotto un'analisi post-mortem dell'incidente, descrivendolo come un "caso di eccessiva fiducia nell'infrastruttura off-chain." Chainalysis ha notato che, sebbene Resolv avesse implementato misure di sicurezza standard e fosse stata sottoposta a ben 18 audit, l'hack era fondamentalmente semplice: un attaccante ha acquisito una chiave, l'ha utilizzata per generare valuta non supportata e poi l'ha venduta prima della rilevazione.
Secondo Chainalysis, l'attaccante ha inizialmente depositato un importo relativamente ridotto, tra 100.000 e 200.000 dollari in USDC, per interagire con il sistema di conio della stablecoin USR di Resolv. Di solito, gli utenti depositano USDC e ricevono un importo equivalente di USR. Tuttavia, in questo caso, l'attaccante è stato in grado di coniare circa 80 milioni di token USR, superando significativamente quanto il loro deposito avrebbe dovuto consentire.
Chainalysis ha spiegato che ciò è stato possibile perché le approvazioni per il conio si basavano su un servizio esterno che utilizzava una chiave privata per autorizzare l'importo di USR che poteva essere creato. Una volta che questa chiave privata è stata compromessa, il sistema di Resolv non è riuscito a far rispettare un limite massimo sull'importo di USR che poteva essere coniato.
Risposta di Resolv e sforzi di recupero
Nel pomeriggio di lunedì, Resolv ha annunciato una pausa temporanea della sua applicazione per mitigare l'impatto dell'incidente. L'azienda ha dichiarato che tutte le funzionalità sarebbero state ripristinate una volta finalizzato un piano di recupero del protocollo e l'applicazione fosse considerata nuovamente sicura per l'uso.
Resolv ha stabilito contatti con tutti gli utenti verificati che detenevano USR al momento dell'incidente, e i riscatti sono stati abilitati. La piattaforma ha consigliato ai clienti di astenersi dal commerciare USR o altri token Resolv mentre lavora per recuperare le monete generate illecitamente.