#ResolvLabsПостраждалаВідЕксплуатуЕксплуатури

Повний розбір інциденту

Що сталося
23 березня 2026 року Resolv Labs, DeFi-протокол, зосереджений на інфраструктурі дельта-нейтральних стейблкоїнів, зазнав критичної проблеми безпеки. Зловмисник використав уразливість в архітектурі розумного контракту протоколу — зокрема в функції mint контракту стейблкоїна RSLV. Маніпулюючи логікою валідації вводу, зловмисник зміг обійти перевірки застави та створити надлишкову кількість токенів RSLV без внесення еквівалентної застави.

Потік атаки та свідчення в мережі
За словами фірм безпеки блокчейна, які моніторили подію, експлуатація відбулася в одній транзакції (хеш: 0x…c3a7). Зловмисник:

1. Викликав застарілий гаманець розгортання, який все ще мав адміністративні привілеї.
2. Використав ці привілеї для виклику привілейованої функції мінтингу, не захищеної багатопідписним управлінням протоколу.
3. Створив 1,400,000 токенів RSLV в одному пакеті.
4. Обміняв новостворені RSLV на ~420 ETH на децентралізованій біржі.
5. Перевів ETH на іншу ланцюг (Avalanche) через крос-ланцюговий міст, щоб приховати кошти.

Негайний вплив

· Загальна втрата: Приблизно 1,4 мільйона доларів за поточних ринкових курсів.
· TVL протоколу: Впав з 8,2 млн до 6,8 млн доларів за лічені хвилини, оскільки постачальники ліквідності поспішали вивести свої кошти.
· Привязка стейблкоїна: RSLV відступив від привязки до 0,92 долара перед тим, як команда призупинила контракт, стабілізуючи його близько 0,98 долара.

Реакція команди
Resolv Labs визнала інцидент протягом 30 хвилин. Вжиті заходи:

· Призупинили всі взаємодії контрактів через аварійний мультисиг.
· Відключили скомпрометований гаманець розгортання.
· Залучили Chainalysis та три незалежні команди судово-експертної аналітики в мережі для відстеження викрадених коштів.
· Рекомендували користувачам відкликати дозволи для адреси контракту RSLV та будь-яких пов'язаних пулів LP.
· Оголосили про реквієм, який буде випущений протягом 72 годин, разом із планом компенсації для постраждалих постачальників ліквідності.

Уроки безпеки
Цей експлуатаційний код виділяє дві критичні уразливості, які продовжують переслідувати DeFi:

· Управління привілейованими ключами: Скомпрометований гаманець розгортання зберіг права мінтингу набагато після розгортання — це типова халатність.
· Деталізований контроль доступу: Функції, які можуть змінити пропозицію токенів, повинні управлятися часовими блокуваннями та схвалення, що складаються з кількох етапів, а не одиничними приватними ключами.

Інцидент служить нагадуванням про те, що навіть протоколи з кількома аудитами залишаються ризику, якщо операційна безпека навколо привілейованих адрес не підтримується суворо.

Наступні кроки
Resolv Labs зазначила, що вони розгорнуть новий набір контрактів після аудиту третьої сторони та повітрюватимуть токени відновлення для постраждалих користувачів. Спільнота очікує на детальний реквієм, щоб зрозуміти, чи будуть використані страхові кошти або кошти казни для покриття втрати.

---

#DeFiExploit #ResolvLabs #SmartContractVulnerability #StablecoinSecurity