Resolv Labs informiert über Exploit-Aufarbeitung: Angreifer prägte 80 Mio. USR
Resolv Labs hat ein neues Update zu einem Exploit veröffentlicht, bei dem ein Angreifer über einen kompromittierten Private Key 80 Millionen USR-Token minten konnte. CEO Ivan Kozlov erläuterte in dieser Woche den Stand der Rücknahmen (Redemptions) sowie die laufenden Untersuchungen. Ein fester Zeitplan für die vollständige Abwicklung liegt weiterhin nicht vor.
Rücknahmen laufen in Phasen
Nach Angaben des Teams hatten in der ersten Phase "whitelisted" USR-Inhaber Priorität. Verifizierte Wallets konnten manuell innerhalb von 24 Stunden bearbeitet werden, um größere Marktverwerfungen zu begrenzen. Kozlov zufolge sind inzwischen rund 98% dieser Rücknahmen abgeschlossen.
Nicht-whitelisted Inhaber, die USR bereits vor dem Exploit hielten, befinden sich weiter in einer Warteschleife. Resolv bekräftigt, dass auch für sie die 1:1-Rücknahmezusage gilt. Die dafür notwendige technische Lösung sei jedoch noch in Entwicklung.
Deutlich komplexer ist die Lage für Nutzer, die USR erst nach dem Exploit erworben haben, sowie für Liquiditätsanbieter und RLP-Teilnehmer. Laut Kozlov erfordern diese Fälle eine Abstimmung über rechtliche, technische und Ökosystem-Ebenen; eine einheitliche Lösung sei noch nicht finalisiert.
Untersuchung: bislang kein Hinweis auf Insider
Im Fokus stehen auch Fragen nach möglicher interner Beteiligung. Kozlov erklärte, die bisherigen Ermittlungen hätten keine Hinweise auf internes Fehlverhalten ergeben. Die Untersuchung laufe weiter gemeinsam mit der Cybersicherheitsfirma Mandiant und der Blockchain-Intelligence-Gruppe zeroShadow.
Ausgenutzt wurde ein Private Key, der an eine privilegierte Minting-Rolle gebunden war. Das betroffene Konto war nicht durch Multisignatur abgesichert und verfügte on-chain über kein Mint-Limit. Dadurch konnte der Angreifer ohne wirksame Begrenzungen große Token-Mengen autorisieren.
Resolv arbeitet zudem mit Rechtsberatern, darunter Paul Hastings und Carey Olsen. Kozlov betonte, dass rechtliche Erwägungen inzwischen auch die Kommunikation prägen und den Umfang öffentlich teilbarer Informationen einschränken.
RLP-Inhaber weiterhin ohne Klarheit
Die Aufmerksamkeit richtet sich auch auf RLP-Token-Inhaber, die die anfänglichen Verluste systembedingt tragen. Rücknahmen für RLP sind derzeit ausgesetzt. Kozlov sprach von laufenden Arbeiten an einem Recovery-Plan, nannte aber keine Details und keinen Zeitrahmen.
Trotz früherer Investitionen in Audits, Monitoring und Bug-Bounty-Programme sei es zu dem Vorfall gekommen; diese Maßnahmen hätten sich in diesem Fall als unzureichend erwiesen. Die Aufarbeitung läuft weiter, betroffene Nutzer warten auf weitere Updates.
