Resolv Украден приватен ключ на стойност 2300 милиона долара, Morpho потвърждава безопасността на главния протокол Actually, let me provide the correct Russian translation: Resolv Украден приватный ключ на сумму 2300 миллионов долларов, Morpho подтверждает безопасность основного протокола

Децентрализованный финансовый протокол Resolv Labs в воскресенье сообщил, что злоумышленник, получив доступ к приватному ключу проекта, постепенно обменял его на эфир и украл около 23 миллионов долларов. В ответ на опасения общественности относительно степени воздействия на протокол Morpho, соучредитель Morpho Пол Фрамбо пояснил, что из примерно 500 хранилищ с депозитами только 15 имеют значительный риск экспозиции (более 10 000 долларов) на соответствующем рынке.

Анализ уязвимости Resolv Labs: путь атаки через похищение приватного ключа

Основная уязвимость атаки заключалась не в самом механизме стабильных монет Delta нейтральных токенов Resolv Labs, а в нарушении управления приватными ключами на инфраструктурном уровне. Согласно отчету Chainalysis, злоумышленник получил доступ к сервису управления ключами Resolv на Amazon Web Services (AWS), успешно обошел логику протокола и, при отсутствии проверки оракула и ограничения максимального количества эмиссии в смарт-контракте, осуществил масштабное сверхлимитное создание токенов по очень низкой стоимости.

Путь атаки выглядел следующим образом: создание 80 миллионов USR → обмен на стейкинг-версию → обмен на USDC → покупка ETH и вывод средств, что в итоге привело к потере примерно 23 миллионов долларов в ETH, а держатели USR напрямую пострадали от краха стоимости. После этого Resolv Labs срочно отключили функции эмиссии и обмена, чтобы предотвратить дальнейшие потери.

Последствия для Morpho: цепная реакция и риск передачи в режиме кураторства

Протокол Morpho использует модель кураторства, позволяющую сторонним управляющим настраивать параметры безопасности кредитных пулов и список токенов. В случае возникновения проблем риск ложится на управляющего, а не на сам протокол Morphe.

В этом инциденте пострадали 15 пулов с экспозицией USR, среди которых Gauntlet, Re7 Labs, kpk и 9summits. Основатель Chaos Labs Омер Голдберг отметил, что автоматизированные сервисы ликвидности некоторых управляющих продолжали предоставлять ликвидность в хранилища даже спустя несколько часов после обнаружения уязвимости, что усугубило потери.

Ключевые данные о ситуации с Morpho

• Общее количество хранилищ: около 500
• Пострадавшие хранилища (с экспозицией более 10 000 долларов): около 15
• Тип пострадавших хранилищ: в основном высокорискованные стратегии с использованием длинных залоговых активов
• Не пострадавшие области: низкорискованные Prime Vaults и все хранилища, не связанные с USR или Resolv

Соучредитель Morpho Мерлин Эгалите ясно заявил: «Контракты Morpho не содержат уязвимостей. Они безопасны и работают как задумано». Пол Фрамбо добавил, что управляющие быстро отреагировали на сложную ситуацию, команда Morpho оказала необходимую поддержку и продолжит сотрудничество с управляющими для улучшения существующих инструментов.

Часто задаваемые вопросы

Как был осуществлен взлом USR стабильной монеты Resolv Labs?
Злоумышленник не атаковал напрямую механизм стабильности Delta нейтральных токенов USR, а получил доступ к приватному ключу Resolv Labs в AWS, обошел логику протокола и, воспользовавшись отсутствием лимита эмиссии и проверки оракула в смарт-контракте, без ограничений создал 80 миллионов USR, заложив примерно 100–200 тысяч долларов, и постепенно обменял их на ETH, в итоге получив около 23 миллионов долларов.

Как модель кураторства Morpho влияет на распространение риска после инцидента?
Модель Morpho передает ответственность за риск сторонним управляющим, которые могут настраивать параметры безопасности пулов. В этом случае пострадали 15 пулов, выбранных управляющими как высокорискованные с использованием USR в качестве залога. Сам протокол Morpho не содержит уязвимостей, низкорискованные Prime Vaults и все остальные пулы, не связанные с USR, остались невредимыми.

Как пользователи Morpho должны реагировать на последствия инцидента Resolv?
Рекомендуется следить за последними объявлениями Resolv Labs и управляющих, чтобы быть в курсе изменений в рисковых параметрах конкретных пулов. Владельцам долей в пулах, связанных с USR или Resolv, следует внимательно отслеживать возможные корректировки в управлении рисками управляющими.