Resolv mise à jour de l'exploit laisse des questions sur la récupération de la clé

• Resolv : des failles exploitées ont permis d’émettre 80 M USR, avec 98 % des rachats des détenteurs inscrits terminés.

• Les utilisateurs non inscrits et ceux ayant agi après l’exploitation subissent des retards, pendant que des solutions techniques et juridiques se mettent en place.

• Aucune preuve d’initié n’a été trouvée, mais la récupération pour les détenteurs RLP reste incertaine sans calendrier.

Resolv Labs a publié une mise à jour récente après qu’une faille ait permis à un attaquant d’émettre 80 millions de jetons USR en utilisant une clé privée compromise. Le PDG Ivan Kozlov s’est adressé aux utilisateurs cette semaine, détaillant l’avancement des rachats et les enquêtes en cours. L’incident, d’abord divulgué récemment, continue d’affecter plusieurs groupes d’utilisateurs tandis que les efforts de récupération progressent, sans calendrier clair.

Le processus de rachat avance par phases

Selon Resolv Labs, l’équipe a d’abord donné la priorité aux détenteurs d’USR inscrits pendant la première phase des rachats. Des portefeuilles vérifiés ont permis un traitement manuel en moins de 24 heures, contribuant à limiter la perturbation plus large du marché. Kozlov a confirmé qu’environ 98 % de ces rachats sont désormais terminés.

Cependant, les détenteurs non inscrits ayant agi avant l’exploitation restent dans une phase d’attente. Kozlov a déclaré que le même engagement de rachat de 1:1 s’applique aussi à eux. Il a ajouté que la solution technique pour ces utilisateurs est encore en développement.

En parallèle, les détenteurs post-exploitation, les fournisseurs de liquidité et les participants au RLP font face à un processus plus complexe. Kozlov a noté que ces cas nécessitent une coordination entre les couches juridiques, techniques et de l’écosystème. En conséquence, aucune solution unique n’a été finalisée.

L’enquête ne trouve aucune preuve d’initié

Pendant ce temps, les questions concernant une implication d’initié ont attiré l’attention. Kozlov a indiqué qu’à ce stade, les enquêtes n’ont pas trouvé de preuves de fautes internes. L’enquête se poursuit avec le cabinet de cybersécurité Mandiant et le groupe d’intelligence blockchain zeroShadow.

L’attaque a exploité une clé privée liée à un rôle d’émission privilégié. Ce compte ne disposait pas de protection par multisignature et n’avait aucun plafond d’émission on-chain. En conséquence, l’attaquant pouvait autoriser la création de jetons en grande quantité sans contraintes.

En réponse, Resolv a sollicité des conseillers juridiques, notamment Paul Hastings et Carey Olsen. Kozlov a déclaré que les considérations juridiques orientent désormais la communication, limitant ce que l’équipe peut divulguer publiquement.

L’incertitude persiste pour les détenteurs de RLP

L’attention s’est également déplacée vers les détenteurs du token RLP, qui ont absorbé les pertes initiales par conception. Actuellement, les rachats pour le RLP restent suspendus. Kozlov a reconnu que des travaux se poursuivent sur un plan de récupération, mais n’a pas fourni de détails.

Malgré des investissements antérieurs dans des audits, la surveillance et des programmes de bug bounty, l’incident s’est néanmoins produit. Kozlov a admis que ces mesures se sont révélées insuffisantes dans ce cas.

Pour l’instant, le processus de récupération continue sans calendrier défini, laissant les utilisateurs concernés en attente de mises à jour supplémentaires.