在一個寧靜的周日早晨，有人在短短十七分鐘內將 10 萬美元變成了 2500 萬美元。
這次攻擊的目標是Resolv，一個提供收益的穩定幣協議。在Resolv暫停合約時，其與美元掛鉤的穩定幣USR已經暴跌至幾美分。截至發稿時，USR仍與美元深度脫鉤，交易價格約0.25美元，本週跌幅超過70%。
爆炸的影響範圍遠遠超出了Resolv的範圍。 Fluid/Instadapp吸收了超過1000萬美元的壞賬，單日資金外流超過3億美元，創下其歷史最嚴重的資金外流紀錄。 15個Morpho金庫遭到衝擊。 Euler、Venus、Lista DAO和Inverse Finance都暫停了與USR相關的市場交易。
導致最初駭客攻擊造成更大損失的機制——在藉貸市場將一種脫錨穩定幣定價為1美元——並非新鮮事。過去14個月裡，這種情況至少發生過四次。
駭客攻擊是如何進行的
USR 的鑄造遵循兩步驟鏈下流程：使用者透過 `requestSwap` 函數存入USDC ，然後由特權鏈下簽署金鑰 `SERVICE_ROLE` 透過 `completeSwap` 最終確定 USR 的發行數量。合約強制執行最低發行量，但沒有最高發行量限制。無論密鑰持有者簽署多少，合約都會執行。
攻擊者透過 Resolv 的 AWS 金鑰管理服務取得了該金鑰。他們提交了兩筆USDC存款，總額約為 10 萬至 20 萬美元，並使用洩漏的密鑰授權兌換了 8,000 萬 USR。 Etherscan 顯示，在幾分鐘內就完成了兩筆交易，分別價值 5,000 萬 USR 和 3,000 萬 USR。
「Resolv USR漏洞並非漏洞，而是一項按設計運行的功能。問題就在這裡，」鏈上分析師Vadim (@zacodil)說。
SERVICE_ROLE 是一個普通的外部位址，而不是多重簽章位址。管理員密鑰具有多重簽名保護，但鑄幣密鑰沒有。
瓦迪姆說：“Resolv 系統接受了 18 次審計。其中一項發現的名稱就叫做‘缺少上限’。”
攻擊者有條不紊地撤離，先將鑄造的 USR 兌換成 wstUSR（質押包裝版本）以減緩市場衝擊，然後依次在 Curve、 Uniswap和 KyberSwap 等平台輪換兌換成ETH。攻擊者的錢包中大約持有 11,400 個ETH （約 2400 萬美元）。儘管穩定幣暴跌，Resolv 的抵押池（即支撐該系統的ETH和BTC）依然完好無損。
傳染病是如何傳播的
Resolv 駭客事件其實是兩起事件疊加造成的。第一起是 Mint 漏洞利用。第二起是連鎖的借貸市場失靈。
當 USR 和 wstUSR 崩潰時，所有接受它們作為抵押品的借貸市場都面臨著同樣的問題：它們的預言機仍然將 wstUSR 定價在接近 1 美元。
風險分析公司 Chaos Labs 的創辦人 Omer Goldberg)記錄了這個機制。他的主要發現是：“預言機是硬編碼的，因此永遠不會重新定價。wstUSR 的定價為 1.13 美元，而其在二級市場上的交易價格約為 0.63 美元。”
交易員在公開市場上以低價買入 wstUSR，並將其作為抵押品，在 Morpho 或 Fluid 上以預言機 1.13 美元的估值進行抵押，然後以此為抵押借入USDC ，然後就此作罷。
Fluid團隊獲得了短期貸款，足以覆蓋100%的壞賬，並承諾讓每位用戶都得到全額補償。 Morpho聯合創辦人Paul Frambot表示，約有15個金庫面臨重大風險敞口，這些風險敞口全部來自高風險、長期抵押策略。
著名策展人高特萊特表示，“一些高價值金庫的曝光度有限。”
但D2 Finance直接反駁了這種說法，並公佈了鏈上數據，顯示Gauntlet的旗艦「USDC核心金庫」向wstUSR/ USDC市場分配了495萬美元。戈德堡後來表示，Gauntlet的金庫佔該市場貸款人流動性的98%。
「我認為策展行業設計得很差，因為並沒有真正進行策展，」 Marc Zeller 在 X 上說道。
截至發稿時，Resolv、Gauntlet、Morpho 和 Fluid 均未回覆 The Defiant 的置評請求。
反覆失敗
這並非一次全新的攻擊。 2025年1月，託管方MEV Capital將Usual Protocol在Morpho金庫中的USD0++贖回門檻硬編碼為1美元。隨後，Usual在未發出任何警告的情況下，突然將贖回門檻降至0.87美元，導致貸款人被困在MEV Caital金庫中，而金庫使用率飆升至100%。
2025年11月， Stream Finance的xUSD崩潰，原因是託管人將USDC存款引導至由該合成穩定幣支持的槓桿循環中，導致其預言機拒絕更新，造成Morpho、Euler和Silo平台上約2.85億至7億美元的資金面臨風險。 Moonwell在2025年10月和11月連續遭遇預言機故障，造成超過500萬美元的壞帳。
這對策展人模式意味著什麼
Morpho 的架構將所有風險決策外包給第三方“託管機構”，由他們建立金庫、選擇抵押品、設定貸款價值比以及選擇預言機。其理論基礎是，專業公司擁有更深厚的專業知識，競爭能夠促進更有效的風險管理，而協議則負責強制執行規則。
但託管機構可以從產生的收益中賺取費用，這促使他們接受更高風險、收益更高的抵押品，例如帶有收益的穩定幣。缺點在於，當這些穩定幣脫離錨定時，損失將由存款人承擔，而不是託管機構。在 Resolv 案例中，一些託管機構的自動機器人在漏洞利用發生數小時後仍在向受影響的金庫補充資金，導致損失加劇。
將預言機硬編碼到收益型穩定幣的原因是為了防止短期波動引發不必要的清算。但這種保護措施只有在穩定幣維持穩定的情況下才有效。
Chainalysis 在事後分析中表示，需要即時鏈條檢測。
「鏈上智慧合約運作完美。但更廣泛的系統設計和鏈下基礎設施顯然存在問題，」該分析公司表示。
