تم اختراق بروتوكول Resolv: استنزاف 25 مليون دولار من خلال ثغرة أمنية في عملة USR المستقرة

أبرز النقاط الرئيسية

• استغل مهاجم متطور ثغرة أمنية في آلية إصدار USR الخاصة بـ Resolv، مما أدى إلى توليد حوالي 80 مليون توكن غير مدعوم من إيداع أولي بقيمة 200,000 دولار فقط من USDC
• نجح المخترق في استخراج 11,409 ETH، بقيمة تقارب 25 مليون دولار
• انخفضت قيمة USR إلى 0.025 دولار على Curve Finance قبل أن تشهد تعافياً جزئياً إلى حوالي 0.85 دولار
• علقت Resolv جميع عمليات البروتوكول؛ بينما يدعي الفريق أن مجموعة الضمانات لا تزال آمنة، تكبد حاملو توكن USR خسائر كبيرة بسبب تضخم العرض
• استجابت منصات DeFi الرئيسية بما في ذلك Morpho و Lido و Aave بسرعة لتقييم وتخفيف تعرضها

تعرضت عملة مستقرة USR الخاصة بـ Resolv لخرق أمني حرج يوم الأحد، حيث استغل المهاجم ثغرات في البنية التحتية للإصدار لتوليد حوالي 80 مليون توكن غير مدعوم، مما أدى في النهاية إلى استنزاف ما يقرب من 25 مليون دولار من الإيثر من البروتوكول.

بدأ النشاط الخبيث حوالي الساعة 2:21 صباحاً بتوقيت UTC. بدأ الجاني الهجوم بإيداع 100,000 USDC في عقد USR Counter الخاص بـ Resolv، وحصل في المقابل على 50 مليون USR فلكي - حوالي 500 ضعف المبلغ الشرعي. أنتجت معاملة متابعة 30 مليون توكن إضافي.

بعد الإصدار غير المصرح به، قام المهاجم بشكل منهجي بتبديل USR الاحتيالي مقابل USDC و USDT من خلال بورصات لامركزية مختلفة، ثم قام بتجميع العائدات في ETH. تحتوي محفظة المهاجم حالياً على 11,409 ETH، وهو ما يمثل حوالي 23.7 مليون دولار بالقيمة السوقية الحالية.

USR، المصمم للحفاظ على سعر ثابت عند 1 دولار، انهار بشكل كارثي إلى 0.025 دولار على Curve Finance بعد 17 دقيقة فقط من معاملة الإصدار الأولية. بينما شهد التوكن ارتداداً جزئياً إلى حوالي 0.85 دولار، إلا أنه ظل منفصلاً بشكل كبير حتى صباح يوم الأحد.

على الرغم من هذه التأكيدات، سلط محللو البلوكشين الضوء على أن حاملي USR الحاليين عانوا من أضرار كبيرة. أدى التدفق الهائل لـ 80 مليون توكن صادر حديثاً إلى تخفيف حاد للعرض المتداول، بينما أدى البيع القوي للمهاجم إلى استنزاف السيولة المتاحة في المجموعة. تعرض أي مستثمرين يحملون USR أثناء الحادث لخسائر فورية في المحفظة.

تتبع الثغرات الأمنية إلى إدارة وصول غير كافية

حدد محلل أمن البلوكشين Andrew Hong أصل الخرق كحساب ممتاز معين باسم SERVICE_ROLE. تم التحكم في هذا الحساب الحرج بواسطة حساب واحد مملوك خارجياً بدلاً من محفظة الكترونية متعددة التوقيعات أكثر أماناً. افتقر عقد الإصدار إلى الضمانات الأساسية بما في ذلك التحقق من أوراكل، وبروتوكولات التحقق من المبلغ، وحدود الإصدار القصوى.

أبلغت Pashov، وهي شركة أمنية قامت سابقاً بتدقيق وحدة الرهان الخاصة بـ Resolv في يوليو 2025، Cointelegraph أن المشكلة الأساسية يبدو أنها نشأت من اختراق المفتاح الخاص بدلاً من نقاط الضعف الكامنة في التصميم المعماري للبروتوكول.

يوثق الموقع الرسمي لـ Resolv 14 ارتباط تدقيق منفصل أجرتها خمس شركات أمنية مميزة، وبرنامج مكافأة أخطاء بقيمة 500,000 دولار مستضاف على Immunefi، وأنظمة مراقبة العقد الذكي المستمرة.

يستجيب نظام DeFi البيئي لاحتواء التداعيات

نفذت العديد من منصات DeFi تدابير استجابة سريعة بعد الاستغلال. أكدت Lido أن أموال المستخدمين المودعة في Lido Earn ظلت آمنة. صرح مؤسس Aave Stani Kulechov أن المنصة لم تحافظ على أي تعرض مباشر لـ USR وأكد أن Resolv تسدد بنشاط الديون المستحقة. أوضح المؤسس المشارك لـ Morpho Merlin Egalite أن الخزائن المحددة فقط لديها تعرض لـ USR.

تنتشر آثار العدوى من خلال أنظمة الإقراض البيئية

تمت الموافقة على كل من USR ومشتقه المرهون wstUSR كـ أصول ضمانية على منصات مثل Morpho و Gauntlet. لاحظ محللو السوق أن المتداولين الانتهازيين ربما اكتسبوا USR بسعره المخفض بشدة واستخدموه لاقتراض USDC بالتقييم الكامل البالغ 1 دولار، مما أدى فعلياً إلى استنزاف احتياطيات السيولة من الخزائن المتضررة.

تواجه شريحة التأمين الصغيرة لـ Resolv، RLP، أيضاً انخفاضاً محتملاً في رأس المال. يمكن أن تنقل Stream Finance، التي تحتفظ بمركز RLP كبير قدره 13.6 مليون بقيمة حوالي 17 مليون دولار، خسائر إضافية إلى قاعدة المودعين لديها. كشفت Stream سابقاً عن خسارة بقيمة 93 مليون دولار في نوفمبر 2025.

انخفض توكن الحوكمة RESOLV بحوالي 8.5% في فترة 24 ساعة بعد الخرق الأمني.

يجسد حادث Resolv هذا نمطاً صناعياً أوسع. وفقاً لتقرير Immunefi الأخير، فإن متوسط اختراق العملات المشفرة يلحق الآن أضراراً تبلغ حوالي 25 مليون دولار، حيث تمثل أكبر خمسة استغلالات خلال 2024-2025 نسبة 62% من إجمالي الأموال المسروقة.

ظهر منشور Resolv Protocol Hacked: $25 Million Drained Through USR Stablecoin Vulnerability لأول مرة على Blockonomi.