Resolv USR-mintattack: 80M USR mintade, $25M i ETH

Resolv USR Mint-attacker som publicerades den 22 mars 2026 visar att angripare myntade 80 miljoner USR via obehöriga transaktioner och bytte intäkterna till ETH på DEX:ar, vilket totalt uppgick till cirka 25 miljoner dollar. Resolv sa att intrånget började utanför deras kärnsystem. En leverantörs komprometterade tredjepartsprojekt exponerade GitHub-referenser, som sedan användes för att infoga ett skadligt repository-workflow. Workflowen stal referenser utan att utlösa utgående varningssignaler, och angriparna tog sig därefter in i Resolv:s molnmiljö för att söka efter ytterligare nycklar och åtkomst till integrationer. För att slutföra Resolv USR Mint-attackerna sökte angriparna efterteckningsbehörighet för att mynta. Inititala försök blockerades av befintliga åtkomstkontroller, men en väg genom en högre nivåns infrastrukturroll tillät ändring av nyckelåtkomstpolicy. När teckningsrätt erhölls användes Counter-kontraktet för obehöriga mintningar. Tidpunkt och belopp: den första mintningen skedde 02:21:35 UTC och skapade 50M USR. En andra mintning följde 03:41 UTC och skapade ytterligare 30M USR. Övervakning upptäckte den första ovanliga transaktionen i realtid. Inneslutning och återställning: backend-tjänster stoppades; smartkontrakts pausfunktioner användes kl. 05:16 UTC och alla kontrakt pausades kl. 05:30 UTC. Komprometterade molnreferenser återkallades före 05:30 UTC. Resolv uppger att cirka 46M USR har neutraliserats via direkta bränningar/svartlistning efter timelås, medan utredningen fortsätter. USR-innehavare före attacken kompenseras 1:1. Resolv beskriver händelsen som en flerstegs kompromiss över tredjeparter och molntillstånd. Företaget planerar införande av on-chain-mynttak, orakelpriskontroller, automatiska pausssystem och stramare GitHub-åtkomstkontroller.