北京时间今日10:21左右，采用Delta中性策略发行稳定币USR的Resolv Labs遭受黑客袭击。一个以0x04A2开头的地址仅投入10万枚USDC，便从Resolv Labs协议中成功铸造出5000万枚USR。
事件曝光后，USR价格迅速跳水至0.25美元附近，截至发稿时已部分回升至0.8美元左右。与此同时，RESOLV代币价格也出现剧烈波动，最高跌幅接近10%。
随后，黑客再次利用相同手段，又用10万枚USDC铸造了3000万枚USR。随着USR大幅脱锚，套利者迅速介入，导致Morpho上支持以USR、wstUSR等作为抵押品的众多借贷池几乎被抽空，BNB Chain上的Lista DAO也紧急暂停了新借款请求。
受冲击的不止借贷协议。在Resolv Labs的设计中，用户还可铸造一种波动性更大、收益更高但需承担协议损失赔偿责任的RLP代币。目前RLP代币流通量接近3000万枚，最大持有者Stream Finance持有超过1300万枚，其净风险敞口约为1700万美元。
令人担忧的是，此前曾因xUSD暴雷事件受损的Stream Finance，此次恐怕将面临二次重创。
截至发稿时，黑客已将USR兑换为USDC和USDT，并持续买入以太坊，累计购入数量已超1万枚。通过20万枚USDC的杠杆操作，黑客套取了超过2000万美元的资产，在熊市背景下精准捕捉到了所谓的「百倍币」机会。
又一次因「不严谨」而被钻空子
去年10月11日的市场大跌曾导致大量采用Delta中性策略的稳定币因自动降杠杆（ADL）产生抵押品亏损。其中，部分以山寨币执行策略的项目损失惨重，甚至直接跑路。
此次遭袭的Resolv Labs同样基于类似机制发行USR。该项目曾在2025年4月宣布完成由Cyber.Fund和Maven11领投、Coinbase Ventures参投的1000万美元种子轮融资，并于5月底至6月初上线了RESOLV代币。
然而，Resolv Labs被攻击并非由于极端行情，而是其USR铸造机制设计存在「不够严谨」的缺陷。
目前尚未有安全公司或官方对此次黑客事件的原因进行深入剖析。DeFi社区YAM通过分析初步得出结论：攻击很可能是由于协议后端用于向铸造合约提供参数的SERVICE_ROLE权限被黑客掌控所致。
据Grok分析，用户发起USR铸造请求时，会在链上调用合约的requestMint函数，并提交以下参数：
_depositTokenAddress：存入代币的地址；
_amount：存入的数量；
_minMintAmount：最低期望获得的USR数量（即防滑点）。
随后，用户将USDC或USDT存入合约。项目方后端的SERVICE_ROLE会监控这些请求，并利用Pyth预言机检查存入资产的价值，进而调用completeMint或completeSwap函数，确定实际铸造的USR数量。
问题的关键在于，铸造合约完全信任SERVICE_ROLE提供的_mintAmount数值。合约默认该数字是经过链下Pyth验证的，因此未设置任何上限限制，也未引入链上预言机进行二次验证，直接执行了mint(_mintAmount)操作。
基于此，YAM推测黑客控制了本应由项目方管理的SERVICE_ROLE（可能是内部预言机失控、监守自盗或私钥泄露），在铸造时将_mintAmount人为设置为5000万，从而实现了用10万枚USDC凭空铸造5000万枚USR的攻击行为。
归根结底，Grok给出的结论是，Resolv在设计协议时，未能预判接收用户铸造请求的地址（或合约）可能被黑客控制的风险。当铸造请求提交给最终执行铸造的合约时，既没有设定最大铸造额度，也没有让铸造合约通过链上预言机进行二次校验，而是盲目信任了SERVICE_ROLE提供的所有参数。
预防也不到位
除了推测黑客手段，YAM还指出了项目方在危机应对准备方面的不足。
YAM在X平台表示，Resolv Labs在首次遭到黑客攻击后的整整3个小时才暂停协议运行，其中约1小时的延迟是因为需要收集多签交易所需的4个签名。YAM认为，紧急暂停功能应当只需一个签名即可生效，且权限应尽可能分配给团队成员或可信的外部运营人员，这样可以提高对链上异常情况的敏感度，加快暂停响应速度，并更好地覆盖不同时区的需求。
虽然仅需单个签名即可暂停协议的建议略显激进，但在紧急情况下，若必须跨时区协调多个签名才能暂停协议，确实可能延误最佳处置时机。引入可信赖的、持续监控链上行为的第三方机构，或使用具备紧急暂停权限的专业监控工具，应是此次事件带来的重要教训。
黑客对DeFi协议的攻击早已不再局限于合约代码漏洞。Resolv Labs的事件给所有项目方敲响了警钟：在协议安全假设中，绝不能信任任何单一环节，所有涉及关键参数的节点都必须至少进行二次验证，即便是项目方自行运营的后端系统也不例外。
以上就是20万换近1亿，DeFi稳定币USR再遭黑客攻击致脱锚的详细内容，更多关于20万致DeFi稳定币近1亿损失的资料请关注其它相关文章！