去中心化金融（DeFi）协议Resolv Labs在周日凌晨遭遇严重攻击，导致其发行的USR稳定币价格一度跌至0.025美元，脱锚幅度超过97%。据项目方与链上数据披露，攻击者利用协议代币铸造流程中的参数操控漏洞，在仅存入10万至20万美元USDC的情况下，铸造了约8000万枚USR代币，并迅速通过Curve、Uniswap等去中心化交易所抛售，提取了约2300万至2500万美元的资产（主要转换为以太坊）。
攻击机制：两步铸造流程的致命缺陷
Resolv Labs的USR稳定币原本声称由流动性抵押品支持，并通过比特币和以太坊的Delta中性策略产生收益。攻击者瞄准了USR发行合约中一个名为“请求-完成”的两步铸造流程。通过操纵请求阶段与完成阶段的参数验证，攻击者绕过了抵押品审核，使得铸造出的USR代币远超实际存款。安全分析师指出，漏洞可能涉及一个权限服务角色的弱点，以及铸造步骤之间缺乏足够的验证检查。部分早期评估认为，问题可能出在链下组件——例如被攻陷的签名者或错误的后端验证逻辑，而非传统的智能合约代码漏洞。
市场冲击：USR闪崩，多协议紧急应对
攻击消息传出后，USR稳定币在主要流动性池中瞬间崩盘。在Curve和Uniswap的部分资金池中，USR报价一度低至0.025美元，虽然此后有所反弹，但截至发稿仍远低于1美元锚定价格。多个与Resolv集成的协议迅速采取行动：暂停市场、禁用相关抵押品池，以限制风险扩散。链上数据显示，攻击者仍在跨钱包转移资金，试图混淆追踪路径。
Resolv Labs回应：抵押品完好，全力调查
Resolv Labs在事件发生后立即暂停了所有协议功能，并发布声明称，底层抵押品池并未受损，所有支撑资产均安全。团队强调，损失主要来源于无支撑代币的铸造与抛售，而非抵押品被直接盗取。目前团队正在调查攻击的根本原因，并探索恢复方案。用户被建议在审查完成前不要与受影响的资产进行交互。值得注意的是，Resolv此前总锁仓价值（TVL）超过5亿美元，并经过多家审计机构审计、设有漏洞赏金计划，此次事件凸显了DeFi协议中多步骤流程验证的脆弱性。
行业启示：安全审计的边界与链下风险
此次攻击再次提醒DeFi行业，安全审计并不能覆盖所有攻击向量。特别是涉及链下组件（如预言机、签名服务、后端验证）的协议，其风险面比纯链上智能合约更为复杂。Resolv Labs在遭攻击前已通过多次审计，但攻击者仍通过操控铸造流程的参数和可能的链下签名绕过防护。未来，DeFi协议需要加强对交互流程中每个步骤的独立验证，并引入更严格的多签审批和实时异常监控。同时，稳定币设计应确保铸币与抵押品之间实现原子级锁定，防止无支撑代币的泛滥。