Un stablecoin est censé valoir un dollar. L’USR de Resolv vaut 27 cents et le calcul pour y remédier ne fonctionne pas.
Un attaquant a exploité une faille dans le contrat de frappe de pièces stables USR de Resolv vers 2 h 21 UTC dimanche, créant environ 80 millions de jetons non garantis sur deux transactions et extrayant environ 25 millions de dollars, selon plusieurs sociétés de sécurité blockchain et données en chaîne.
L’attaquant a ensuite échangé l’USR créé contre de l’USDC et de l’USDT sur des échanges décentralisés, a converti le produit en ETH et détient désormais 11 409 ETH d’une valeur d’environ 23,7 millions de dollars plus 1,1 million de dollars en USR enveloppés dans un portefeuille séparé.
USR, un stablecoin indexé sur le dollar qui utilise une stratégie de couverture delta neutre soutenue par l’ETH et le BTC, s’est effondré à 0,025 $ sur son pool Curve Finance le plus liquide dans les 17 minutes suivant le premier monnayage, selon DEX Screener.
Il est ensuite revenu à environ 0,85 $, mais n’a pas rétabli son ancrage. Lundi matin, il s’échangeait à 0,27 $, en baisse de 72 % sur la semaine.
Cet avis est émis au nom de Resolv Digital Assets Ltd. en relation avec le protocole Resolv.
Plus tôt dans la journée, un acteur malveillant a obtenu un accès non autorisé à l’infrastructure Resolv via une clé privée compromise, ce qui a entraîné la création d’environ 80 millions de dollars de…
– Laboratoires Resolv (@ResolvLabs) 22 mars 2026
La cause profonde était pire que ce que suggérait la déclaration initiale de Resolv. L’équipe a décrit l’incident comme une « clé privée compromise » et une « compromission d’infrastructure ciblée ».
Mais les analystes onchain ont découvert que le véritable problème était structurel. Le SERVICE_ROLE, un compte privilégié qui effectue les demandes d’échange dans le contrat de frappe, était contrôlé par un seul compte externe plutôt que par un multisig. Le contrat manquait de contrôles Oracle, de validation du montant et de limites maximales de frappe.
L’attaquant a déposé 100 000 USDC et a reçu 50 millions USR en retour, soit environ 500 fois le montant attendu, car rien dans le système ne vérifiait si ce ratio avait du sens.
Les données DeFiLlama montrent que le TVL de Resolv a culminé à près de 684 millions de dollars en février 2025 avant de décliner tout au long de l’année à environ 95 millions de dollars avant l’exploit.
Resolv a déclaré qu’il travaillait avec des sociétés d’application de la loi et d’analyse en chaîne et qu’il « poursuivrait toutes les voies disponibles pour récupérer les actifs ».
L’équipe a fortement déconseillé de négocier des USR pendant la mise en œuvre des mesures de récupération, ajoutant que « les actions des utilisateurs pendant la période post-exploit peuvent affecter la récupération ».
Correction : 6h39 UTC : La version précédente mentionnait à tort 80 millions de dollars comme perte dans le titre et le corps de l’histoire.