🧵1/ ⚠️ Exploit Analyse: $80M Verlies bij Resolv Labs Aanval Eerder vandaag werd @ResolvLabs geëxploiteerd vanwege een falen in zijn gecentraliseerde parameter validatiemechanisme. Met slechts ~$200K aan kapitaal, heeft de aanvaller 50M en 30M USR gemint met elk $100K USDC, wat leidde tot een totaal verlies van ongeveer $80M. Na het voorval is de stablecoin $USR kort gedepegd naar $0.051.

🧵2/ Aanval Mechanisme De completeSwap functie in het #TheCounter contract van Resolv Labs stelt in staat dat de hoeveelheid $USR die wordt gemint, wordt bepaald via de _targetAmount parameter.

🧵3/ De completeSwap functie controleert dat het aanroepadres (msg.sender) de SERVICE_ROLE moet bezitten. Dit betekent dat nadat een gebruiker een swaptransactie indient, het projectteam een gecentraliseerde validatie van parameters zoals _targetAmount moet uitvoeren, en pas na bevestiging van de juistheid zullen ze deze functie aanroepen om de transactie te voltooien. Op basis van de twee aanvalstransacties kwam $100K USDC overeen met _targetAmount-waarden van respectievelijk 50M en 30M USR. Het is duidelijk dat het validatiemechanisme voor _targetAmount van het project is mislukt. Aangezien de validatie van _targetAmount gecentraliseerd en niet open-source is, kan de oorzaak op dit moment niet worden vastgesteld. Mogelijkheden zoals betrokkenheid van binnenuit, compromittering van het gecentraliseerde systeem of lekken van de SERVICE_ROLE privé-sleutel kunnen niet worden uitgesloten.

2/ Aanval Mechanisme De completeSwap functie in het #TheCounter contract van Resolv Labs stelt in staat dat het bedrag van $USR dat wordt gemint, wordt bepaald via de _targetAmount parameter.