Die Blockchain-Sicherheitsfirma Chainalysis veröffentlichte eine detaillierte Analyse des Vorfalls. Das Unternehmen beschrieb die Situation als einen Fall von “zu großem Vertrauen in die Off-Chain-Infrastruktur”. Trotz umfangreicher Sicherheitsmaßnahmen und bis zu 18 durchgeführten Sicherheitsaudits gelang es dem Angreifer, einen privaten Schlüssel zu entwenden und damit eine große Menge Geld zu “drucken”.
Der Ablauf war dabei bemerkenswert einfach: Der Angreifer deponierte zunächst einen relativ kleinen Betrag von etwa 100.000 bis 200.000 Dollar in USDC und interagierte damit mit dem USR-Münzungssystem von Resolv. Normalerweise erhalten Nutzer eine äquivalente Menge USR für ihre USDC-Einzahlungen. In diesem Fall konnte der Angreifer jedoch rund 80 Millionen USR-Token erschaffen – weit über das hinaus, was seine ursprüngliche Einzahlung hätte ermöglichen sollen.
Die kritische Sicherheitslücke lag laut Chainalysis bei der Genehmigung von Münzungen. Diese hingen von einem externen Service ab, der sich auf einen privaten Schlüssel stützte, um zu bestätigen, wie viel USR erstellt werden konnte. Nach dem Diebstahl dieses Schlüssels setzte das System von Resolv keine maximalen Grenzen für die Münzung durch – ein fataler Fehler in der Systemarchitektur.
Resolv reagierte schnell auf den Vorfall und veröffentlichte eine offizielle Stellungnahme. Das Unternehmen versuchte zunächst, den Angreifer über eine Nachricht auf der Blockchain zu einer Rückgabe der Coins zu bewegen. Es bot dem Hacker 10 Prozent des erbeuteten Vermögens – etwa 2,45 Millionen Dollar in Ethereum – an, wenn er die restlichen Mittel zurückgeben und alle weitere Aktivitäten einstellen würde. Zusätzlich drohte Resolv, mit zentralisierten Börsen zu koordinieren, um die illegalen Vermögenswerte zu beschränken oder einzufrieren, sowie mit Strafverfolgungsbehörden und Blockchain-Analyse-Unternehmen zusammenzuarbeiten.
Zum Schutz der betroffenen Nutzer pausierte Resolv am Montag sein Angebot. Das Unternehmen steht derzeit in Kontakt mit allen verifizierten Benutzern, die zum Zeitpunkt des Angriffs USR-Bestände hielten. Rückzahlungen wurden aktiviert, und das Unternehmen drängt die Kunden, nicht mit USR oder anderen Resolv-Token zu handeln, während es versucht, die illegal erstellten Coins zurückzuverfolgen und einzuziehen.
Dieser Incident unterstreicht die Risiken dezentralisierter Finanzplattformen und zeigt, dass technische Sicherheit allein nicht ausreicht – die Architektur des gesamten Systems muss sorgfältig überprüft werden.