หัวข้อเรื่องต้นฉบับ: DeFi Has Seen Resolv's $25M USR Exploit Many Times Before
ผู้เขียนเรื่องต้นฉบับ: Camila Russo, The Defiant
การแปลเรื่องต้นฉบับ: นโยบายที่เข้มแข็ง TechFlow
ในเช้าวันอาทิตย์ที่เงียบ ๆ มีคนทำให้ 100,000 ดอลลาร์กลายเป็น 25,000,000 ดอลลาร์ในเวลาประมาณ 17 นาที
เป้าหมายคือโปรโตคอลสำหรับเหรียญเงินเดียวรายได้ Resolv ก่อนที่ Resolv จะหยุดสัญญา สกุลเงินที่เชื่อมโยงกับดอลลาร์ของ Resolv ชื่อ USR ตกลงจนถึงราคาเพียงเล็กน้อย ณ เวลาเขียนบทความนี้ USR ยังคงเข้ากันไม่ได้อย่างยิ่ง ราคาซื้อขายประมาณ 0.25 ดอลลาร์ ลดลงมากกว่า 70% ในสัปดาห์นี้
ผลกระทบยังไปอีกไกลกว่าความผิดของ Resolv เอง Fluid/Instadapp วันละสูบซอยเกิน 10,000,000 ดอลลาร์ แต่กลับถูกผลกระทบจากการถอดถอนกว่า 3,000,000,000 ดอลลาร์ ทำให้ต้องเผชิญกับบัญชีที่สูญหายที่มากที่สุดในรอบหนึ่งวัน 15 Morpho vault ได้รับผลกระทบ Euler Venus Lista DAO และ Inverse Finance ทุกคนได้รับผลกระทบจนระงับตลาดที่เกี่ยวข้องกับ USR

กลไกที่ทำให้ความเสียหายจากช่องโหว่ระบายไปได้ไกลในตลอดเวลา —— การกำหนดราคาสำหรับเหรียญเงินเดียวของการค้ำประกันตาม 1 ดอลลาร์ในตลาดการให้สินเชิงยกมาจนถึงสมัยนี้ โดยนับตั้งแต่ 14 เดือนที่ผ่านมา สถานการณ์แบบนี้เกิดขึ้นอย่างน้อย 4 ครั้ง
กระบวนการระเบียบการฝากเงินของ USR ทำตามขั้นตอน 2 ขั้นต่อไป: ผู้ใช้ทำการฝากเงินด้วยฟังก์ชั่น '`requestSwap`' ผู้ที่มีสิทธ์พิเศษในการเซ็นประทับใต้โซนช่วง `'SERVICE_ROLE`' จะทำการยืนยันมูลค่าของ USR ซึ่งสร้างขึ้นโดย '`completeSwap`'
สัญญามีขีดต่ำของผลลัพธ์แต่ไม่มีขีดสุด ผู้ถือสิทธ์เซ็นประทับใต้สัญญาจะสัญญาอะไร สัญญาจะทำงานอย่างไร
ผู้โจมตีได้รับการเข้าถึงสิทธ์เท่านั้นจาก AWS ของ Resolv เขาทำการทำธุรกรรมการเงิน 2 รายการของ USDC รวมประมาณ 100,000 ถึง 200,000 ดอลลาร์ และจากนั้นใช้สิทธื้ความเห็นสำหรับการชำระเงินซึ่งถูกขโมยไปใช้สำหรับสร้าง 80,000,000 USR เป็นตอบแทน ข้อมูลโซนช่วงแสดงว่ารายการซื้อขาย 2 รายการแต่ละรายการสร้างขึ้นเป็น 50,000,000 USR และ 30,000,000 USR ตามลำดับ ซึ่งทำการสร้างภายในนาทีไม่กี่นาทีเท่านั้น
「ช่องโหว่ Resolv USR ไม่ใช่บั๊ก—แต่เป็นคุณลักษณะที่ทำงานถูกต้องตามการออกแบบ นั่นเอง นี่คือปัญหาที่แท้จริง」 นักวิเคราะห์บนเชื่อมโยง Vadim (@zacodil) กล่าวว่า
SERVICE_ROLE เป็นที่อยู่บัญชีภายนอกที่ไม่ใช่ Multiple Signature คีย์ผู้ดูแลมีการป้องกัน Multiple Signature แต่คีย์การเหรียญรีไม่มี
「Resolv ผ่านการตรวจสอบ 18 ครั้ง」 Vadim กล่าวว่า 「หนึ่งในค้นพบชื่อโดยตรงว่า 「ขาดอย่างนี้」」
ผู้ทำโจมตีออกจากการทำงานอย่างต่อเนื่อง: โดยก่อนอื่นแปลง USR ที่ถูกเหรียญเป็น wstUSR (รุ่นที่ห่อแพคการจัดงบ) เพื่อลดผลกระทบในตลาด แล้วผ่าน Curve、Uniswap และ KyberSwap เปลี่ยนมันเป็น ETH ในกระเป๋าเงินของผู้ทำโจมตีมีประมาณ 11400 ETH (ประมาณ 24 ล้านเหรียญสหรัฐ)
สนับสนุนระบบทั้งหมดด้วย ETH และ BTC Collateral Pool ยังคงไม่เสียหายขณะที่ Stablecoin ล้วนกำลังพัง
ช่องโหว่ของ Resolv จริง ๆ คือเหตุการณ์สองเหล่าทับกัน เหตุการณ์แรกคือช่องโหว่การเหรียญ และเหตุการณ์ที่สองคือการล้มเหลวของตลาดเงินให้ยืมโฆษณา
เมื่อ USR และ wstUSR ล้มเหลว ทุกตลาดเงินที่ยินยอมเป็นกงศาให้มันเป็นหลักประกันเผชิญกับปัญหาเดียวกัน:ซึ่งคือ PrecitoloRacle ยังคงให้ wstUSR ราคาใกล้เคียงกับ 1 ดอลลาร์สหรัฐ
ผู้ก่อการร้ายซื้อ wstUSR ในตลาดเปิดโอกาสเครื่องราคาต่ำ แล้วที่ Morpho หรือ Fluid เหมือนโฆษณา PrecitoloRacle 1.13 ดอลลาร์สหรัฐทำหลักประกันกยี USDC และออกไป
ที่ Fluid ทีมจัดหาเงินกู้ชั่วคราวเพื่อครอบคลุมหนี้ 100% และมั่นสัญญาจะตอบแทนผู้ใช้ทุก ๆ คน ที่ Morpho, ซึ่งในไฟแรง พูดถึงว่ามีกระบวนการหลายๆ ของคลังซึ่งมีความเสี่ยงสูง พ้องเลี้ยงในยุทธวิธีพิระยะเวลาอย่างต่อเนื่อง
นักเลือกความรู้ชื่อดัง Gauntlet กล่าวว่า "ความเสี่ยงของกองทุนรายได้สูงตัวเองมีข้อจำกัด"
แต่ D2 Finance โต้เถียงคำประพันธ์นี้โดยตรง โดยเปิดเผยว่า ข้อมูลบนเชื่อมแบบช่องสำหรับ USDC Core ของ Gauntlet ซึ่งเป็นธงเรือของ ได้จัดสรรเงิน 4.95 ล้านเหรียญสหรัฐสู่ตลาด wstUSR/USDC Goldberg จากนั้ทวีตข้อความว่า กองทุน Gauntlet ถือส่วนของความเคลื่อนไหวของกู้เงินมูลฟ์ 98% ในตลาดนี้
เมื่อได้รับความตอบแทนจาก The Defiant Frambot กล่าวว่า "เราตลอดเวลาประสาความความเสี่ยงทั้งประเภทอย่างมาก ๆ แต่เราไม่ว่าความประดิษฐ์ที่นี่ตั้งหลักเรื่ยกใช้ไป "
Frambot เสริมด้วยว่า “Morpho เป็นเทคโนโลยีเพื่ออีกนั้น ซึ่งหมายความว่ามันอนุญาตให้ผู้เลือกความรู้เลือกเลือกเครื่องทำนายที่เหมาะสมที่มากที่สุดสำหรับตลาดแต่MorTho ขจวัตุเมนบริการอีกทางเพิเนียม ถ่าไซน�์รพ์ทจจั์ แ”
“การบังคับระดับที่เหน็จางใหข้สิบล�กบ้ลการในทุรดคโธ้็งง็เวณค่า�ใ้ายข้างมล้” Fram�ot บ้กว้่า “เบบำน�ำส๋�ง�่้นด�ดส�็ำรำบ�ท่ีลำ�ุข่า”ท์
แม้ว่าจะเด�ัห�รกแบโด�รเซัส�์ือ�ผ�็้�
Tom�า�ส่��กด � ร� 제�บทก�เน�ห�ป�นล ุี รงด�่กด้ด� �ารืจ�ด�ไ้ต�งล�น งลุช�
�อ้ �� � �สึ� 5 �จ�� � �� � � � � � ึLo�้Ca� � ��R � ���PU�Total+� ไา�Aั� � �� ถ��ur �� � ���ห�Une � ��� � ึMorpho�ต ย�้�� 1 ส� ํ� � �� �ย� � �้มา� ��EA�E � ��Gold ��� � � �� ไ��� � � ���ร�ี ߇�ม� ึ � ุิ 10 � � �่� � � � �ำ��ะ ึL�ด�ล� ฮ �� � � � �U �� � � ษ � ��อ็ � � �-webpack� ��_ � �� � � � � � �� ํ� � � 4.� � ึ � � �้ 2 � � � � � � � � � � � ด� ํ� � �ำ� ู่า� � ็ี่ �ำ� � � � � � � � � � � � �M�ย� � ึ � � � � �ผ �� � � � � � � � � �ั� � � � ร� ร� � � �บlocate � � � � ษ � � � �32 � ู็ร � � ึ � � � � � � � � � � � � � � � � อ � � � � � � � � � � � � � � � � � � � � ดา � � � � �G� � � � � � � � � � �ัา � � � � � � � � � � � � � �ีA�R �O� � � ืน � � �� � � � � � � � � � � � �� �ิ� � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � ท� � � � �ุ � � � � � � � � � � � � � � � � � � � � http�// � � � � � � � 85 � ง � � � ��/� � � � � � � � � � � � � �� � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � ท� � � � � � híd � -_cp� �แต� "N � � � � � � � � � � � � � ्रग�ो � � � � �ำ�_ 収� � � � � �� � � � � � � � � � � � � �้ � � � � � � � � � � � � � � � ไ็้ � � �� ื�lernen � � � � � � � � � � � � � � �ยเ � � � � � � � � � � � � � � �็ำ � � ย � � � � � � � � � � �ัการ� � � � �� � � � �า� �ะ� � � � � auth� ��て� ู � � � � � � � � � � � ทลด�โ�จ�รั� � � � � � � � � � � � � � � � � � ื�บ�ต�ริกใ� � � � �ย� � � � � � � � �� ต� � � � � � � � � � � � � � � � � � �� เ� � � � � � � � � � � � � � � � � � � �บ� � � � � � � � � � � � � � � � � � ��ี ื � � �� � � � � � � ��acier�_ ษ � � � ป� � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � ท� � � � �� � � � � � � �� � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � ท� � � � �� � � � � � � �� � � � � � � � � � � ย� � � � � � � �บ� � � � � � � � � � � � � � � � � � � � � � � � � ดา� � � � � � � � � � � � � � � � � � � � ุ � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � ท� � � � � � � � � � � � � � �่�า�� � � � � � � � �้ � � � � � � ู� � � � � � � � � � � �� เ�ล� � � � � � � � � � � � � � � � ย� � � � � � � � � � � �ไม่� � � �ย� � � � � � � � �� ต� � � � � � � � � � � � � � � � � � � � � � � � � � � อิ� � � � � ��ำ � � � � � � �-� � � � � � � ไ�้ � � �ื��ี� � � � � � � � � � � � � � � � � �ะ�บ� 77 � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � �v� �ะ� � � ผ � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � ท� � � � � � � � � � � � � � �่�า�� � � � � � � � �้ � � � � � � � � � � � ู� � � � � � � � � � � �� เ�ล� � � � � � � � � � � � � � � � �้็ร�แ� � � � � � � � � � � � �้�ำ � � ยื�ม� �Handbuch� �98 � � � � � � ็ � � � � � � � � � � � � � � � � � � � � � � � � � � � �_VOL� � � | � � � � � � � � � � � � � � � � ท� � � � 19� � � 50� � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � � �.PO� �อ� � � � � � � � � � � � � � � ย� � � � � � � � � � � �้�ย�_人�ン� � � � � W� � � � � � � � � � ย� � � � � � � ว�ท� � � � ื�€“�เ�ง เ� � � � �า� � � � � � � � � � � � � � � � ไ็้ � � �� ื�lernen เ� � � � � � � � � � � � � � � � � � -187 � � � � � � � ื� � � � � � � � � � �ั � � � � � � � � � � � � � � � � � � � � ณชำ �ะ� � � � � � � � ื�เอ� � � �าื�� � � � � � � � � � � � � � �้�ำ � � ยื�ม� �Handbuch�elige � � � � � � � � � � � นการ์ดอี� � ็�ะ� � � � � � � � � � � ท� � � � 19� � � 50� � � � � � � � ป� �ุ � � � � � � � � ��ื่ๆ � � � � � � � � � � � � � � � ปณ�้อ� ื�ำ�ย ื ്ที่ � � � �้ � � �่ะ�พ (ไ�้ � � � �)ะโ�ลพ�ำร่เXi�ุเ
Moonwell ประสบความล้มเหลวของ Oracle สองครั้งในเดือนตุลาคมและพฤศจิกายน ปี 2025 โดยรวมมียอดหนี้สูงกว่า 5 ล้านเหรียญสหรัฐ
โครงสร้างของ Morpho นำการตัดสินใจเรื่องความเสี่ยงทั้งหมดไปจ่ายให้บุคคลที่สาม "curator" โดยให้พวกเขากำหนดคลังข้อดีตั้งขึ้นเลือกหลักทรัพย์สำคัญกำหนดค่าหนี้สินต่อมูลค่าและเลือก Oracle โครงการแนวหลักนี้ต้องการว่า องด้านภาคธุรกิจสามารถให้ความรู้ที่ดียิ่งขึ้นการแข่งขันสามารถนำมาซึ่งการจัดการความเสี่ยงที่ดีขึ้นโครงการรับผิดชอบในการดำเนินข้อบังคับ
แต่ curator พึ่งตัดสินใจโดยอ้างรายได้ที่ได้รับจากใช้ความเสี่ยงต่ำ ได้ผลต่ำอาจเกิดจากการใช้สัญญาประกันรายได้สูงการกระตุ้น ปัญหาที่ประสบความล้มเหลวคือเมื่อสัญญาประหยัดสามารถหลุญได้ผล ต่อการสารสัจจะหายไปในสัญญา ไม่ใช่ curator
ในเหตุการณเติมส่วนหนึ่งของระบบการขายของ Resolv บาง curator พื้นฐานอัตโนมัติยังคงดำเนินการสุวเงินลงในกองทางการเงินที่ได้รับความกระทบเข้มขวางการสูญเสีย
สำหรับสัญญาประหยัดรายได้สูงครบถ้วนการคิดรหัสตัวอย่างการรายได้สูงมาจากสัญญาประหยัดเรียกคืบี้สมัน โอกาสทางสำคัญอยู่ที่คือเมื่อสัญญาประหยัดสามารถป่มนหรืองใช้สังคมลงต่อการขายของที่ไม่จำเป็นตาม แต่การปลอกครี้จะไม่เกาลี่ในประเภท สอวนี้ในแบบจดเพี้์ี่รอนข้ง
Chainalysis หลักฉบับการพิจารืหลังปั้นว่าต้องการความสามารถในการติดตามการรับระหรอายในเวลาจริง.AI
"สัญญาอนุญาตยันงท่าโบยงสตรงสเสมี่ท่ชวබครับินลุ่ข้าาดี" ซีนพงทัฟหลักของChainalysis กรอง
ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:
กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats
กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App
บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia