Stablecoin USR crasht 72% na hack van $25 miljoen

De cryptowereld is opgeschrikt door een grote aanval op het platform Resolv. Daarbij werd voor zo’n 25 miljoen dollar buitgemaakt en stortte de stablecoin USR volledig in. Wat normaal een stabiele munt van 1 dollar hoort te zijn, is nu nog maar 27 cent waard.

Hacker profiteert van systeemfout

De aanval vond afgelopen weekend plaats waarbij een hacker een kwetsbaarheid misbruikte in het minting contract van USR en zo’n 80 miljoen tokens zonder onderliggende waarde creëerde. Vervolgens werden deze tokens omgezet naar USDC en USDT en uiteindelijk naar Ethereum (ETH).

In totaal werd zo’n 25 miljoen dollar buitgemaakt. De aanvaller bezit nu ruim 11.400 ETH, goed voor bijna 24 miljoen dollar, en daarnaast nog een kleiner bedrag in wrapped USR.

De gevolgen voor de stablecoin waren direct zichtbaar. Binnen 17 minuten na de eerste transactie zakte de koers van USR naar 0,025 dollar op Curve Finance. Hoewel de koers later tijdelijk herstelde, staat de munt nu rond de 0,27 dollar, een daling van 72 procent in een week.

Gebrek aan beveiliging blootgelegd

Resolv gaf eerst aan dat een private key was gehackt. Maar volgens onderzoekers ligt het probleem dieper. Een belangrijk onderdeel van het systeem werd beheerd door één account, zonder extra beveiliging zoals een multisig.

Daarnaast ontbraken essentiële controles, zoals limieten op minting en verificatie via oracles. Daardoor kon de hacker met een storting van 100.000 USDC maar liefst 50 miljoen USR ontvangen.

“Voor veel smart contracts is dit niet ongebruikelijk,” zei Ido Sofer van beveiligingsbedrijf Sodot. “Er is vaak één sleutel met veel macht. Dat wordt nog te vaak over het hoofd gezien en vormt een aantrekkelijk doelwit.”

Resolv kampt met groot tekort

De financiële situatie van Resolv is inmiddels flink verslechterd. Het project heeft nog zo’n 95 miljoen dollar aan bezittingen, terwijl de verplichtingen oplopen tot 173 miljoen dollar. Dat betekent dat er simpelweg niet genoeg geld is om alles te dekken.

Resolv zegt samen te werken met opsporingsdiensten om de gestolen fondsen terug te halen. Gebruikers wordt afgeraden om voorlopig USR te verhandelen.