Resolv Labs bị khai thác lỗ hổng cơ chế phát hành stablecoin USR, khiến kẻ tấn công nạp khoảng 200.000 USDC nhưng đúc và rút 80 triệu USR, làm USR mất neo nghiêm trọng.
Sự cố tập trung vào hợp đồng mint và kiến trúc phát hành USR, không phải mất mát tài sản thế chấp nền tảng. Sau khi đội ngũ tạm dừng giao thức, một phần USR đã bị bán đổi sang tài sản “cứng”, khiến thiệt hại lan nhanh qua thị trường thứ cấp.
- Kẻ tấn công dùng khoảng 200.000 USDC để đúc và rút 80 triệu USR, khiến USR sụt hơn 88% ở thời điểm cao điểm khủng hoảng.
- Theo Resolv Labs, pool tài sản thế chấp vẫn “solvent”, thiệt hại nằm ở cơ chế phát hành USR.
- Một phần USR đã được bán sang USDC/USDT rồi mua ETH, làm việc đóng băng trở nên khó hơn so với stablecoin.
Khai thác Resolv Labs khiến 200.000 USDC “biến” thành 80 triệu USR
Vụ tấn công nhắm vào hợp đồng mint của USR, cho phép đúc token mà không qua xác thực đúng cách, dẫn tới việc kẻ tấn công nạp khoảng 200.000 USDC nhưng lấy đi 80 triệu USR mới được đúc.
Sự cố xảy ra rạng sáng Chủ nhật, 22/03 (giờ Việt Nam). Mục tiêu là USR, một stablecoin thế chấp vượt mức và được “back” tự nhiên bằng Ether (ETH), thiết kế để duy trì neo theo đô la Mỹ.
Nhiều nền tảng an ninh blockchain cho biết điểm xuất phát nằm ở các hợp đồng mint. Các hợp đồng này đã trải qua nhiều đợt audit nhưng không phát hiện lỗ hổng, cho thấy rủi ro có thể nằm ở cách các thành phần tương tác hơn là lỗi cú pháp đơn lẻ.
Một số chuyên gia nhận định vấn đề không nằm ở “code” thuần túy mà ở kiến trúc cơ chế phát hành USR. Khi một hệ thống phát hành cho phép tạo tài sản mới dựa trên điều kiện không được kiểm chứng chặt, kẻ tấn công có thể khuếch đại vốn ban đầu rất nhỏ thành lượng token lớn.
“Một lỗi trong hàm completeSwap() cho phép mint mà không có xác thực phù hợp.”
– Cyvers, công ty an ninh blockchain, bài đăng trên X
Resolv Labs xác nhận sự cố trong bài đăng trên X, cho biết đã tạm dừng toàn bộ chức năng giao thức và đang khẩn trương triển khai phương án khôi phục.
Trong cập nhật tiếp theo, đội ngũ cho biết pool tài sản thế chấp vẫn hoàn toàn “solvent” và không mất tài sản nền tảng; thiệt hại được mô tả là chỉ tập trung vào cơ chế phát hành USR.
Dòng tiền sau khai thác chuyển dịch sang ETH và USR lao dốc khỏi mức neo
Theo dữ liệu on-chain, kẻ tấn công đã bán hàng chục triệu USR sang USDC/USDT rồi dùng tiền mua ETH, khiến phần lợi nhuận trở nên khó đóng băng hơn so với việc giữ stablecoin.
Theo nhà phân tích on-chain EmberCN, ví của kẻ tấn công đã bán 43,26 triệu USR lấy USDC và USDT, sau đó mua 11.437 ETH, tương đương khoảng 23,8 triệu USD.
Ngoài ra còn 36,74 triệu USR tiếp tục bị xả. Tuy nhiên, do giá token giảm mạnh, phần còn lại được mô tả có giá trị khoảng 2 triệu USD, phản ánh tác động pha loãng và áp lực bán lên thanh khoản thị trường.
So với stablecoin (có thể bị nhà phát hành blacklist), ETH trong ví tự lưu ký thường khó đóng băng hoặc can thiệp hơn. Điều này khiến trạng thái tài sản của kẻ tấn công tạm thời “linh hoạt” và khó truy vết hơn ở lớp thực thi tức thời.
Về biến động giá, USR từng rơi xuống khoảng 0,14 USD, tức mất neo rất mạnh. Sau đó USR có nỗ lực hồi phục nhưng diễn biến vẫn giật cục do áp lực bán và tâm lý rủi ro quanh cơ chế phát hành.
Tại thời điểm được đề cập, USR giao dịch quanh 0,46 USD, vẫn giảm hơn 53,7% trong 24 giờ. Token hệ sinh thái RESOLV cũng giảm hơn 8%, quanh 0,05 USD.
Sự cố đến trong bối cảnh vốn hóa USR đã suy yếu trước đó. Dữ liệu lịch sử trên trang thống kê vốn hóa USR cho thấy vốn hóa giảm hơn 74%, từ trên 400 triệu USD vào tháng 02/2026 xuống khoảng 100 triệu USD trước khi bị tấn công.
Sau biến động, vốn hóa hiện được nêu ở mức khoảng 78,14 triệu USD, phản ánh việc nguồn cung/niềm tin và định giá bị tác động đồng thời bởi cú sốc phát hành và lực bán thị trường.
Các giao thức DeFi đánh giá mức độ phơi nhiễm và trấn an người dùng
Một số dự án DeFi có liên quan đã nhanh chóng kiểm tra rủi ro liên đới với USR và công bố rằng tác động là hạn chế hoặc không đáng kể, tập trung chủ yếu ở thị trường thứ cấp của USR.
Nền tảng quản trị rủi ro Gauntlet cho biết phần lớn các vault không bị ảnh hưởng, chỉ một vài vault lợi suất cao có mức phơi nhiễm giới hạn, đồng thời theo dõi thanh khoản và sẽ cập nhật thêm.
“Phần lớn các vault của Gauntlet không bị ảnh hưởng. Một vài vault lợi suất cao có mức phơi nhiễm hạn chế. Chúng tôi đang theo dõi thanh khoản và sẽ tiếp tục chia sẻ cập nhật.”
– Gauntlet, bài đăng trên X
Lido Finance cũng đăng rằng tiền của người dùng Lido Earn vẫn an toàn và không cần thực hiện hành động nào.
Nhà sáng lập kiêm CEO của Aave, Stani Kulechov, cho biết Aave không có mức phơi nhiễm với Resolv USR. Ông cũng giải thích Resolv là bên cung cấp thanh khoản trên Aave bằng các tài sản “backing”, và các tài sản này không bị ảnh hưởng bởi sự cố phát hành.
“Resolv là nhà cung cấp thanh khoản trên Aave, cung cấp các tài sản backing cho giao thức. Những tài sản này vẫn an toàn vì chính backing không bị ảnh hưởng. Resolv sẽ có thể rút ra có trật tự và đã bắt đầu hoàn trả khoản nợ. Không có tác động bất lợi với nhà cung cấp thanh khoản của Aave, và tác động bằng 0 lên Aave Protocol.”
– Stani Kulechov, CEO Aave, bài đăng trên X
Resolv Labs cho biết đang điều tra và khôi phục, đồng thời khuyến nghị người dùng không giao dịch hay tương tác với các tài sản Resolv trong giai đoạn này để tránh vô tình tiếp sức cho hoạt động thị trường thứ cấp liên quan đến vụ khai thác, theo thông báo trên X.
“Cho đến khi có thông báo mới, chúng tôi đặc biệt khuyến nghị tránh giao dịch hoặc tương tác với các tài sản Resolv ở thời điểm này để ngăn việc hỗ trợ hoạt động thị trường thứ cấp liên quan đến vụ khai thác.”
– Resolv Labs, bài đăng trên X
Những câu hỏi thường gặp
Resolv Labs bị khai thác theo cơ chế nào?
Các bên theo dõi an ninh blockchain cho rằng khai thác xuất phát từ hợp đồng mint, trong đó một lỗi ở hàm completeSwap() có thể cho phép mint USR mà không có xác thực phù hợp. Một số ý kiến nhấn mạnh rủi ro nằm ở kiến trúc cơ chế phát hành hơn là lỗi code đơn lẻ.
USR đã giảm tới mức nào sau sự cố?
USR từng rơi xuống khoảng 0,14 USD, tương ứng mức sụt hơn 88% so với mục tiêu neo theo đô la Mỹ. Ở thời điểm được nêu, USR giao dịch quanh 0,46 USD và vẫn giảm hơn 53,7% trong 24 giờ.
Kẻ tấn công đã chuyển tài sản đi đâu?
Theo EmberCN, kẻ tấn công bán 43,26 triệu USR sang USDC và USDT rồi mua 11.437 ETH (khoảng 23,8 triệu USD). Việc chuyển sang ETH trong ví tự lưu ký có thể khiến việc đóng băng khó hơn so với stablecoin.
Resolv Labs nói gì về tài sản thế chấp?
Resolv Labs tuyên bố pool tài sản thế chấp vẫn hoàn toàn “solvent” và không mất tài sản nền tảng; thiệt hại được mô tả là chỉ nằm ở cơ chế phát hành USR. Dự án cũng đã tạm dừng các chức năng giao thức để xử lý.
Các giao thức lớn có bị ảnh hưởng không?
Một số bên đã trấn an người dùng: Gauntlet nói phần lớn vault không bị ảnh hưởng và chỉ có phơi nhiễm hạn chế ở vài vault lợi suất cao; Lido Finance cho biết tiền người dùng Lido Earn an toàn. CEO Aave cũng tuyên bố không có phơi nhiễm với Resolv USR và “backing assets” trên Aave không bị ảnh hưởng.
