当前位置：首页 > 资讯 > 20万致DeFi稳定币近1亿损失

20万换近1亿，DeFi稳定币USR再遭黑客攻击致脱锚

2026-03-22 22:16:35 | 来源：本站整理 | 作者：佚名
2026年3月22日，DeFi稳定币USR遭黑客攻击，攻击者利用协议设计漏洞，仅用20万枚USDC就铸造出8000万枚未担保的USR，导致USR严重脱锚，价格暴跌，黑客套现超2000万美元，引发市场恐慌,

20万换近1亿，DeFi稳定币USR再遭黑客攻击致脱锚

北京时间今日 10:21 左右，利用 Delta 中性策略发行稳定币 USR 的 Resolv Labs 遭到黑客攻击。0x04A2 开头的地址用 10 万枚 USDC 从 Resolv Labs 协议中铸造出了 5000 万枚 USR。

20万致DeFi稳定币近1亿损失

随着事件曝光，USR 应声跌至 0.25 美元附近，截至撰文时回升至 0.8 美元左右。RESOLV 代币价格短时最高跌幅也接近 10%。

之后黑客如法炮制再次用 10 万枚 USDC 铸造了 3000 万枚 USR。随着 USR 的大幅脱锚，套利交易者也快速行动，Morpho 上支持以 USR、wstUSR 等作为抵押品的很多借贷市场已几乎被掏空，BNB Chain 上的 Lista DAO 也暂停了新的借款请求。

受到影响的还不止这些借贷协议。Resolv Labs 协议设计中，用户还可以铸造一种价格波动更大，收益也更高，但需要在协议收到损失时承担赔偿责任的 RLP 代币。目前 RLP 代币的流通量近 3000 万枚，最大持有者 Stream Finance 持有超 1300 万枚 RLP，净风险敞口大约为 1700 万美元。

没错，之前因为 xUSD 暴雷了一次的 Stream Finance 可能要再次被暴击。

截至撰文时，黑客已将 USR 转换为 USDC 和 USDT，并持续买入以太坊，目前已经买入超 1 万枚。用 20 万枚 USDC 套出了超 2000 万美元的资产，黑客在熊市期间找到了属于 TA 的「百倍币」。

又一次因「不严谨」而被钻空子

去年 10 月 11 日的大跌，使得很多使用 Delta 中性策略发行的稳定币都因为 ADL（自动降杠杆）而产生了抵押品损失。部分以山寨币作为执行策略的资产的项目损失更为惨重甚至直接跑路。

这一次遭到攻击的 Resolv Labs 也是利用类似的机制发行 USR，该项目曾在 2025 年 4 月宣布完成了 Cyber.Fund 和 Maven11 领投，Coinbase Ventures 参投的 1000 万美元种子轮融资，并于 5 月底 6 月初上线了代币 RESOLV。

但 Resolv Labs 被攻击的原因并非极端行情，而是铸造 USR 的机制设计「不够严谨」。

目前还没有安全公司或者官方对此次黑客事件发生的原因进行分析。DeFi 社区 YAM 通过分析初步得出了结论：攻击很可能是协议后端用于给铸造合约提供参数的 SERVICE_ROLE 被黑客控制导致。

据 Grok 分析，用户铸造 USR 时会在链上发起请求，并调用合约的 requestMint 函数，参数包括：

_depositTokenAddress：存入的代币地址；

_amount：存入数量；

_minMintAmount：最低期望收到的 USR 数量（防滑点）。

之后，用户将 USDC 或 USDT 存入合约，项目方后端 SERVICE_ROLE 监控请求，使用 Pyth 预言机检查存入资产的价值，之后调用 completeMint 或 completeSwap 函数，决定实际铸造的 USR 数量。

问题就出在，铸造合约完全信任 SERVICE_ROLE 提供的 _mintAmount，认为该数字是在链下由 Pyth 验证过的，所以没有设置上限限制，也没有链上的预言机验证，直接执行了 mint(_mintAmount)。

据此，YAM 怀疑黑客控制了本应由项目方控制的 SERVICE_ROLE（可能是由于内部预言机失控、监守自盗或者密钥被盗），在铸造时直接将 _mintAmount 设置为 5000 万，实现了用 10 万枚 USDC 铸造 5000 万枚 USR 的攻击事件。

归根结底，Grok 给出的结论是，Resolv 在设计协议时并未考虑用于接收用户铸造请求的地址（或合约）会被黑客控制的可能性，在铸造 USR 的请求提交给最后铸造 USR 的合约时，没有设置最大铸造数额，也没有让铸造合约用链上预言机进行二次验证，就直接信任了 SERVICE_ROLE 提供的所有参数。

预防也不到位

除了推测被黑的原因，YAM 也指出了项目方在应对危机方面的准备不足。

YAM 在 X 上表示，Resolv Labs 在黑客第一次攻击完成后的 3 个小时才暂停了协议，其中有大约 1 小时的延迟是来自于收集多签交易需要的 4 个签名。YAM 认为，紧急暂停应该只需一个签名，且权限应该尽可能分配给团队成员，或者可信的外部运营人员，这样可以增加对链上异常情况的关注度，提高快速暂停的可能性，并更好地覆盖不同时区。

虽然只需单个签名就可以暂停协议的建议有些激进，但需要跨不同时区的多个签名才能暂停协议确实在紧急情况发生时可能会耽误大事。引入可信的、持续监控链上行为的第三方，或者使用有紧急暂停协议权限的监控工具，都是这次事件带来的「后事之师」。

黑客对 DeFi 协议的攻击早就已经不限于合约漏洞，Resolv Labs 的事件给项目方的警示在于：在协议安全方面的假设应该是不能信任其中任何一环，所有涉及参数的环节都必须至少进行二次验证，即使是项目方自己运营的后端也不例外。

以上就是20万换近1亿，DeFi稳定币USR再遭黑客攻击致脱锚的详细内容，更多关于20万致DeFi稳定币近1亿损失的资料请关注脚本之家其它相关文章！

免责声明：本文只为提供市场讯息，所有内容及观点仅供参考，不构成投资建议，不代表本站观点和立场。投资者应自行决策与交易，对投资者交易形成的直接或间接损失，作者及本站将不承担任何责任。！
Tag：DeFi   稳定币   USR  

你可能感兴趣的文章

币圈快讯

  • 伊朗称制定敌方目标与资产新清单

    2026-11-01 05:47
    11月1日，伊朗武装部队总参谋长阿卜杜拉希当地时间10月31日警告称，如果美国和以色列再对伊朗实施军事打击，伊朗的回应将“更为严厉且有效”，“一份新的敌方目标与资产清单已被列入议程”。阿卜杜拉希称，这份目标与资产清单“覆盖广泛地理范围”，为抵御侵略，伊朗武装部队将以“高强度且不受地理限制”的方式对抗美以——一旦爆发新战事，伊朗将是决定战争何时结束的一方。#伊朗最高领袖要求更新打击目标库#伊朗最高领袖穆杰塔巴·哈梅内伊当天发表声明说，他会见了伊朗武装力量高级指挥官，并下令针对任何可能的美国和以色列威胁，都必须予以“即时、有力且不受地理限制的回应”。（CCTV国际时讯）

  • 布伦特原油暗盘跌破112美元日内跌超0.3%

    2026-11-01 05:07
    11月1日，布伦特原油暗盘跌破112美元，日内跌超0.3%。（新浪财经）

  • 美国个人储蓄率9月份下降0.2个百分点至4.2%创2022年10月以来最低水平

    2026-11-01 04:41
    11月1日，据TheKobeissiLetter披露，美国个人储蓄率9月份下降0.2个百分点至4.2%，创下2022年10月以来的最低水平。自2024年1月以来，美国个人储蓄率已累计下降3.4个百分点。目前，个人储蓄率已远低于疫情前五年6.2%的平均水平。与此同时，9月美国个人收入同比增长4.1%，为2022年4月以来第二低的增速。同期，个人消费支出（PCE）同比增长6.3%，为2024年12月以来第二高的同比增幅。换言之，消费者支出增速持续超过收入增长，进一步挤压家庭储蓄，并使家庭对借贷的依赖程度上升。持续高企的通胀和处于历史高位的物价，也在进一步侵蚀消费者的储蓄。

  • 《华尔街日报》胜诉特朗普100亿美元诽谤诉讼被驳回

    2026-11-01 04:38
    11月1日，美国一名联邦法官驳回了唐纳德·特朗普重新提起的、针对《华尔街日报》的100亿美元诽谤诉讼，并裁定该案不得再次起诉，这是特朗普在与媒体的法律纠纷中遭遇的又一次挫折。迈阿密法官DarrinGayles于周六批准了《华尔街日报》的撤诉申请。诉状指控该报在一篇关于特朗普与已故杰弗里·爱泼斯坦往来的报道中对其构成诽谤。Gayles曾在4月以证据不足为由首次驳回该案，但当时允许特朗普补充诉求后重新起诉。特朗普在5月提交新版本诉状，而《华尔街日报》认为新版本并未做出有效完善。这项裁决对《华尔街日报》、其母公司新闻集团以及名誉主席鲁珀特·默多克（均为该案被告）而言是重大胜利。被告方在撤诉申请中称，相关报道内容属实，特朗普提起诉讼意在压制媒体对他的批评。引发这起诉讼的《华尔街日报》报道称，特朗普曾向爱泼斯坦寄送一封带有暗示性内容的生日信件。（新浪财经）

  • Name.com域名劫持事件升级：15个客户域名受影响并全部恢复其中10个与Vercel平台相关

    2026-11-01 04:08
    11月1日，Name.com向TheBlock表示，此次攻击中共有15个客户域名被劫持，超过此前确认的12个，目前这些域名已全部恢复。Vercel则表示，受影响的域名中有10个与其平台相关联。此前消息，周五晚些时候，黑客入侵了十余个DeFi网站，包括Flap、Kintsu、PickleFinance和OrigamiFinance，并利用这些网站清空了访问者的加密货币钱包。据TheBlock获取的注册记录显示，这12个被劫持的域名均通过Name.com注册，其中10个已于周六上午在注册商层面被暂停。TheBlock迄今已将约13.8万美元的被盗资金追踪到EVM链上的三个钱包，这一数字尚未计入Solana或Aptos链上的任何损失。
    • 查看更多

最新资讯

更多

区块链百科