Resumen:
Resolv Labs emitió un ultimátum de 72 horas al atacante que robó $25 millones, ofreciendo dejarle quedarse con el 10% si devuelve el resto.
La explotación ocurrió el 22 de marzo: el atacante acuñó 80 millones de tokens USR no respaldados y los convirtió en 11,409 ETH.
La vulnerabilidad se originó en un rol de acuñación privilegiado controlado por una sola cuenta sin límites o autorización de múltiples firmas.
Resolv Labs emitió un ultimátum público al atacante responsable de la explotación que el pasado domingo drenó aproximadamente $25 millones del protocolo. A través de un mensaje en la cadena, la empresa con sede en Abu Dhabi ofreció a la persona la opción de quedarse con el 10% de los fondos robados a cambio de devolver el 90% restante —aproximadamente $22.5 millones en ETH— junto con cualquier token USR que aún esté bajo su control.
La fecha límite establecida expira el jueves. Resolv también incluyó un camino alternativo en la propuesta: el atacante puede optar por un esquema de divulgación responsable, contactando al equipo por correo electrónico para demostrar que su intervención fue el resultado de una investigación de seguridad de buena fe.
¿Qué Sucedió con Resolv?
El ataque tuvo lugar en las primeras horas del domingo 22 de marzo. El atacante depositó aproximadamente $200,000 en USDC en el contrato del contador USR de Resolv y recibió 50 millones de USR a cambio. Una segunda transacción les permitió acuñar 30 millones de tokens adicionales. El total obtenido fue cambiado por stablecoins a través de varios intercambios descentralizados y luego convertido en 11,409 ETH, según datos en cadena.
Los analistas determinaron que la violación se originó en un rol de acuñación privilegiado controlado por una única cuenta de propiedad externa, sin límites máximos de emisión, sin verificaciones de oráculos y sin requisitos de autorización de firma múltiple. Resolv reconoció en su declaración que la explotación, aunque facilitada por una vulnerabilidad del protocolo, fue ejecutada con una clara intención maliciosa y que los tokens no respaldados generados representan un riesgo para la estabilidad del mercado secundario.
Respuestas y Soluciones del Protocolo para Usuarios Afectados
Si la fecha límite pasa sin cumplimiento, el protocolo advirtió que escalará sus medidas: coordinación con intercambios centralizados, puentes y proveedores de infraestructura para restringir o congelar los activos, divulgación pública de las direcciones y rastros de transacciones involucrados, y colaboración con empresas de análisis de blockchain y fuerzas del orden para iniciar acciones legales.
Resolv Digital Assets Ltd. también anunció que ha habilitado redenciones para usuarios que poseían USR antes del incidente y que aparecieron en la lista de permitidos. Las actualizaciones para los usuarios restantes, indicó el protocolo, se comunicarán en las próximas horas.