Я щойно усвідомив щось тривожне щодо того, як еволюціонувала DeFi. Хак Resolv наприкінці березня — ідеальний приклад того, чому нам потрібно повністю переосмислити уявлення про безпеку. Ось що сталося і чому це важливіше за ще одну помилку у смарт-контракті.

22 березня протокол Resolv зазнав серйозної атаки. Зловмисник створив приблизно 80 мільйонів стабількоінів USR, майже без забезпечення, вивів близько $25 мільйонів у цінності та залишив токен торгуватися за $0,20 — зниження на 80%. Найцікавіше? Код смарт-контракту працював точно так, як і задумано. Це не була вразливість у коді. Це було щось гірше.

Головна проблема полягала у тому, як Resolv спроектували свою систему емісії. Коли ви хотіли створити USR, це не була проста транзакція в мережі. Замість цього існував двоступеневий процес: спершу ви депонували USDC у контракти-рахунки й запитували емісію. Потім зовнішня служба з привілейованим приватним ключем затверджувала, скільки USR фактично буде створено. Сам контракт не мав жодних обмежень — ні верхніх меж, ні перевірок співвідношень, ні інтеграції з оракулом, нічого. Лише перевірка підпису. Будь-яка сума, підписана цим ключем, теоретично могла бути створена.

Шлях зловмисника був майже надзвичайно простим, як тільки він отримав ключ. Вони зламали середовище AWS KMS Resolv, де зберігалися ключі підпису. Потрапивши туди, вони могли авторизувати будь-що. Вони депонували близько $100-200 тисяч USDC у кількох транзакціях, а потім використали викрадений ключ SERVICE_ROLE для підписання емісії 50 мільйонів USR в одній транзакції і 30 мільйонів — в іншій. Всього 80 мільйонів токенів із мінімальним забезпеченням.

Далі — частина з відмиванням грошей за підручником. Вони конвертували USR у wstUSR(— дериватив для стейкінгу), потім обміняли його на стабількоіни, потім — на ETH, використовуючи кілька пулів DEX і мостів для приховування слідів. На даний момент вони тримають близько 11 400 ETH приблизно на $24 мільйонів, а також ще $1,3 мільйона у wstUSR, що зберігається на їхній адресі.

Реакція ринку була миттєвою і жорсткою. Весь цей незабезпечений запас одночасно потрапив у пулі ліквідності, і прив’язка USR зірвалася. Вартість відновилася до $0,56 за кілька годин, але шкода була нанесена. Resolv був змушений призупинити все, щоб зупинити подальші втрати.

Найбільше мене турбує ось що: Resolv зробили все за правилами. Вісімнадцять аудитів безпеки. Всі стандартні заходи безпеки на місці. І все одно це сталося, бо справжня вразливість була не у коді — а у припущеннях щодо інфраструктури. Оскільки DeFi стає все складнішим і дедалі більше залежить від зовнішніх сервісів, хмарної інфраструктури та привілейованих ключів, площа атаки значно зростає за межі того, що зберігається в мережі.

Урок жорсткий. У просторі, де зловмисники можуть виконати атаки за кілька хвилин, і ти навіть не підозрюєш, що кровоточиш, поки не пізно, потрібен моніторинг у реальному часі та автоматизовані системи реагування. Не просто бажані функції. Це — абсолютна необхідність. Якби Resolv мав системи, що слідкують за аномальними співвідношеннями емісії — наприклад, якщо $100K депозит раптово дозволяє створити 50 мільйонів токенів, — вони б змогли зловити це миттєво. Або якби вони налаштували автоматичне призупинення при незвичних подіях емісії, 80 мільйонів USR ніколи б не з’явилися на ринку.

Ось нова реальність. Смарт-контракти — безпечні. Інфраструктура — слабке місце. І коли безпека вашого протоколу залежить від збереження ключів у хмарі, ви вже не просто купуєте аудити. Ви ставите все на швидкість виявлення та реагування. Resolv це зрозумів на власному досвіді.