Resolv協(xié)議遭攻擊：攻擊者以20萬美元鑄造8000萬無背書USR，已大量兌換為ETH，剩余USR價(jià)值僅204萬美元事件背景Resolv Labs是一家DeFi穩(wěn)定幣發(fā)行平臺(tái)，主要通過delta-neutral（Delta中性）策略（基于ETH和BTC）發(fā)行錨定1美元的穩(wěn)定幣USR，旨在為用戶提供高收益。USR此前穩(wěn)定運(yùn)行并維持美元掛鉤，但3月22日（北京時(shí)間）協(xié)議在更新過程中出現(xiàn)嚴(yán)重漏洞，導(dǎo)致攻擊者成功利用鑄幣機(jī)制。來龍去脈：攻擊全過程據(jù)鏈上分析師Yu Jin、PeckShield以及Onchain Lens等監(jiān)測：

1. 鑄幣階段（約北京時(shí)間3月22日10:21）攻擊者（地址以0x04A2開頭）分兩步操作：
   • 先存入約10萬美元USDC，通過USR Counter合約的requestSwap和completeSwap函數(shù)（或利用SERVICE_ROLE權(quán)限漏洞，缺乏金額校驗(yàn)/預(yù)言機(jī)驗(yàn)證），鑄造約5000萬USR（實(shí)際應(yīng)為1:1或有限比例，卻實(shí)現(xiàn)了約500倍杠桿）。
   • 隨后復(fù)制操作，再用約10萬美元USDC鑄造3000萬USR?？傆?jì)僅用20萬美元USDC，就無背書鑄造了8000萬USR（名義價(jià)值8000萬美元）。PeckShield確認(rèn)兩筆鑄幣交易，總額達(dá)80M USR。
2. 脫錨與拋售階段海量無背書USR瞬間涌入市場，導(dǎo)致USR在Curve、Uniswap、KyberSwap等DEX上暴跌：從1美元瞬間跌至0.025美元（部分池子最低0.01美元），最大跌幅超97%。隨后部分回升至約0.8美元，但仍嚴(yán)重脫錨。攻擊者將USR轉(zhuǎn)為wstUSR后，快速在DEX拋售換成USDC/USDT（因滑點(diǎn)損失巨大，僅套現(xiàn)約2300-2500萬美元真實(shí)價(jià)值）。期間，Morpho借貸市場（支持USR/wstUSR抵押）幾乎被清空，Lista DAO（BNB Chain）緊急暫停新貸款。
3. 兌換ETH階段攻擊者將換得的穩(wěn)定幣大量買入ETH。鏈上數(shù)據(jù)顯示：
   • 已購買約11,437 ETH（價(jià)值約2384萬美元）。
   • 早期階段已購9111 ETH，后續(xù)繼續(xù)買入。據(jù)PANews最新跟蹤（3月22日），攻擊者已將**8000萬USR中的大部分（約4326萬）**兌換為USDC/USDT并買入ETH，剩余USR（約3674萬枚）因價(jià)格崩盤（跌幅88%），當(dāng)前市值僅剩204萬美元。

整個(gè)過程僅用數(shù)小時(shí)完成，攻擊者通過滑點(diǎn)和脫錨“低價(jià)”變現(xiàn)，實(shí)際獲利約2500萬美元（轉(zhuǎn)為ETH）。結(jié)果與影響

• 協(xié)議狀態(tài)：Resolv Labs官方在X平臺(tái)確認(rèn)：“Resolv遭遇攻擊，攻擊者鑄造了5000萬無背書USR。團(tuán)隊(duì)已暫停所有協(xié)議功能，防止進(jìn)一步惡意行為，目前正積極恢復(fù)中?！焙罄m(xù)更新稱：抵押資產(chǎn)池完整，無核心資產(chǎn)損失，問題僅限于USR發(fā)行機(jī)制，調(diào)查仍在進(jìn)行。協(xié)議目前處于完全暫停狀態(tài)，用戶無法鑄幣/贖回。
• USR現(xiàn)狀：仍嚴(yán)重脫錨（當(dāng)前價(jià)格遠(yuǎn)低于1美元），剩余未拋售USR市值僅204萬美元。攻擊者持有的ETH已成為其主要戰(zhàn)利品。
• 生態(tài)連鎖反應(yīng)：多個(gè)集成協(xié)議受波及（借貸市場清空、暫停）；Curve等LP遭受重創(chuàng)；RESOLV代幣也短暫下跌近10%。
• 損失承擔(dān)：攻擊者獲利約2500萬美元。誰最終買單尚不明確（可能是RLP保險(xiǎn)池、LP或用戶）。團(tuán)隊(duì)強(qiáng)調(diào)“抵押充足”，但脫錨已造成實(shí)際損失，恢復(fù)計(jì)劃細(xì)節(jié)未公布。

此事件再次暴露DeFi鑄幣合約審計(jì)的脆弱性，尤其在權(quán)限控制、金額校驗(yàn)和預(yù)言機(jī)環(huán)節(jié)。Resolv Labs正全力調(diào)查漏洞根源（可能為內(nèi)部權(quán)限泄露或合約邏輯錯(cuò)誤），社區(qū)密切關(guān)注后續(xù)追責(zé)與補(bǔ)償方案。攻擊者資金已轉(zhuǎn)為ETH，追蹤難度增加。截至目前（3月23日），事件仍在發(fā)酵，建議USR持有人、流動(dòng)性提供者及相關(guān)協(xié)議用戶密切關(guān)注官方更新。DeFi安全風(fēng)險(xiǎn)再次敲響警鐘。