Acabo de enterarme de una violación bastante grave en el stablecoin Resolv. Después de que el atacante descubrió una vulnerabilidad en el contrato de acuñación, creó 80 millones de tokens falsos de USR y retiró aproximadamente 25 millones de dólares en ETH. El precio cayó de un dólar a 2.5 centavos en 17 minutos, luego se recuperó ligeramente hasta 27 centavos, lo que representa una caída del 72% en una semana.

Curiosamente, el equipo inicialmente atribuyó esto a una compromisión de la clave, pero los analistas descubrieron el verdadero problema: fallos estructurales. El SERVICE_ROLE, una cuenta privilegiada para la acuñación, era controlada por una sola clave sin multi-firma. El contrato no tenía verificaciones de oráculo, validación de sumas ni límites máximos. El atacante depositó 100,000 USDC y obtuvo 50 millones de USR, ¡500 veces más de lo que debería haber tenido! El sistema no realizó ninguna verificación.

Tras este incidente, los expertos dicen que configuraciones con una sola clave son un blanco clásico para amenazas internas y externas. No es un fenómeno nuevo, pero muestra cuán importante es prestar atención a las cuentas con privilegios, que a menudo quedan fuera del radar de los equipos de seguridad. Resolv afirmó que está trabajando con las autoridades y empresas de análisis de blockchain para recuperar los activos. El TVL del proyecto era de 684 millones de dólares en febrero, pero antes del hackeo cayó a 95 millones.