रिज़ॉल्व लैब्स ने $25M एक्सप्लॉइट की पुष्टि की जिसने 80 मिलियन अनबैक्ड USR टोकन मिंट किए और डॉलर पेग को तोड़ दिया

एक स्टेबलकॉइन जो $1 पर ट्रेड कर रहा था, कुछ पूल्स में एक सेंट के अंशों तक गिर गया। इसके पीछे के तंत्र को सटीक रूप से समझना महत्वपूर्ण है।

हमला कैसे हुआ

Resolv Labs ने अपने USR स्टेबलकॉइन कॉन्ट्रैक्ट के मिंटिंग फ़ंक्शन को लक्षित करने वाले एक सुरक्षा शोषण की पुष्टि की। हमला दो चरणों में किया गया। पहले चरण में, एक हमलावर ने प्रोटोकॉल के requestSwap और completeSwap फ़ंक्शन के माध्यम से लगभग $100,000 मूल्य के USDC का उपयोग करके 50 मिलियन USR टोकन मिंट किए, जो तैनात पूंजी और उत्पन्न टोकन के बीच लगभग 500 से 1 के अनुपात में था। सुरक्षा फर्म PeckShield ने इसके तुरंत बाद एक दूसरे लेनदेन की पहचान की जिसमें हमलावर ने अतिरिक्त 30 मिलियन USR मिंट किए, जिससे कुल अनधिकृत जारी करना 80 मिलियन टोकन हो गया।

D2 Finance के विश्लेषकों ने उल्लंघन के लिए तीन संभावित वेक्टर की पहचान की: एक समझौता किया गया ओरेकल जो मिंटिंग फ़ंक्शन में गलत मूल्य डेटा फीड कर रहा था, एक लीक हुआ ऑफ-चेन साइनर जिसकी क्रेडेंशियल्स ने वैध समर्थन के बिना मिंटिंग को अधिकृत किया, या मिंटिंग प्रक्रिया के दौरान राशि सत्यापन की एक महत्वपूर्ण अनुपस्थिति। इन तीनों में से कोई भी हमलावर को उन नियंत्रणों को बायपास करने की अनुमति देता जो उस पैमाने पर असमर्थित जारी करने को रोकना चाहिए था। जांच जारी है और सार्वजनिक रूप से किसी एक कारण की पुष्टि नहीं की गई है।

डीपेग और इसकी लागत

USR की लिक्विडिटी इंफ्रास्ट्रक्चर में 80 मिलियन असमर्थित टोकन इंजेक्ट करने के परिणाम तत्काल थे। USR अपने $1.00 पेग से गिर गया, कुछ प्लेटफार्मों पर $0.257 जितना कम ट्रेड कर रहा था। Curve Finance पर USR/USDC पूल में, जहां केंद्रित लिक्विडिटी मूल्य प्रभाव को बढ़ाती है, टोकन गंभीर स्लिपेज के कारण लगभग $0.025 तक गिर गया क्योंकि हमलावर ने मिंट किए गए टोकन को वैध स्टेबलकॉइन में स्वैप किया।

हमलावर ने मिंट किए गए USR को USDC और USDT के लिए स्वैप करके कम से कम $25 मिलियन निकाला और फिर उसे लगभग 11,422 ETH में परिवर्तित किया। शोषण शुरू करने के लिए उपयोग किए गए $100,000 के USDC ने कम से कम $25 मिलियन का रिटर्न उत्पन्न किया, जो हमले को निष्पादित करने के लिए तैनात पूंजी पर 250x रिटर्न था।

Resolv Labs ने कहा कि प्रोटोकॉल की मूल संपार्श्विक संपत्तियां पर्याप्त रहीं और शोषण में सीधे चोरी नहीं की गईं। क्षति जो था उसे लेने से नहीं आई बल्कि उस चीज़ को बनाने से आई जो वहां नहीं होनी चाहिए थी और प्रोटोकॉल के जवाब देने से पहले इसे वास्तविक मूल्य में परिवर्तित करने से आई।

प्रोटोकॉल प्रतिक्रिया और बाजार पतन

Resolv Labs ने उल्लंघन की पुष्टि करने के तुरंत बाद सभी प्रोटोकॉल फ़ंक्शन को रोक दिया, आगे की मिंटिंग को रोका और अतिरिक्त क्षति को सीमित किया। टीम ने कहा कि वह शोषण की जांच कर रही है और निकाली गई धनराशि को पुनर्प्राप्त करने का प्रयास कर रही है, हालांकि ETH में परिवर्तित और DeFi इंफ्रास्ट्रक्चर के माध्यम से स्थानांतरित धनराशि की पुनर्प्राप्ति ऐतिहासिक रूप से कठिन है।

पतन Resolv के अपने प्रोटोकॉल से परे फैल गया। Euler Labs ने अपने प्लेटफॉर्म पर USR और RLP संपार्श्विक कार्यक्षमता को अक्षम कर दिया। Venus Protocol ने डीपेग्ड संपत्ति के संपर्क से उपयोगकर्ताओं को बचाने के लिए USR ट्रेडिंग को पूरी तरह से निलंबित कर दिया। वे प्रतिक्रियाएं DeFi संपार्श्विक इंफ्रास्ट्रक्चर की परस्पर जुड़ी प्रकृति को दर्शाती हैं, जहां एक प्रोटोकॉल में एक स्टेबलकॉइन शोषण प्रत्येक प्रोटोकॉल के लिए तत्काल जोखिम पैदा करता है जिसने उस स्टेबलकॉइन को संपार्श्विक या ट्रेडिंग पेयर के रूप में स्वीकार किया।

शोषण एक पैटर्न का अनुसरण करता है जो DeFi सुरक्षा घटनाओं में बार-बार दिखाई दिया है। कमजोरी संपत्ति के अंतर्निहित संपार्श्विक में नहीं थी बल्कि नए टोकन कैसे जारी किए जाते हैं, इसे नियंत्रित करने वाले कॉन्ट्रैक्ट लॉजिक में थी। जब मिंटिंग फ़ंक्शन में पर्याप्त सत्यापन की कमी होती है, तो समर्थन आवश्यकता जो एक स्टेबलकॉइन को इसका मूल्य देती है, अंतर्निहित रिजर्व को छुए बिना पूरी तरह से बायपास की जा सकती है। $100,000 का प्रवेश लागत और $25 मिलियन का निकास पुष्टि करता है कि वह कमजोरी कितनी असममित हो सकती है जब इसे अज्ञात छोड़ दिया जाता है।

पोस्ट Resolv Labs ने $25M शोषण की पुष्टि की जिसने 80 मिलियन असमर्थित USR टोकन मिंट किए और डॉलर पेग को तोड़ा, पहली बार ETHNews पर दिखाई दी।