透過合約升級（Contract Upgrade）摧毀駭客代幣（Destroy Hacker Tokens），修復 Caps 例外利用造成的 3400 萬美元損失，損失金額達 34,000,000 美元

Resolv Labs 於 2026 年 4 月 6 日執行鏈上合約升級，永久銷毀原本由攻擊者控制的 36.73 百萬枚 wstUSR 與 stUSR 代幣，將該協議在 3 月 22 日漏洞事件中的預估淨損失上限控制在約 $34 million。

攻擊者使用被竊取的 AWS 託管私鑰來鑄造 8000萬枚未有資產支撐的 USR 代幣，僅以 $100,000 到 $200,000 的抵押品為支撐；隨後他們將 3,400 萬枚 USR 交換為 11,409 枚 ETH（約 $24.5 million），在流動性耗盡之前完成交換，而剩餘代幣則在協議的升級中被銷毀。

Resolv 透過合約升級摧毀駭客代幣

已在鏈上確認的升級交易首先將 stUSR 解包為 USR，接著再將兩者都送往零地址，使得該等代幣任何人都無法取回，包括駭客。Resolv 先前已暫停該協議並提供 10% 的白帽懸賞，但駭客並未對和平解決表現出興趣，於是團隊行使其升級權限來摧毀剩餘代幣。

該漏洞事件發生於 2026 年 3 月 22 日，當時一名攻擊者使用單一遭到入侵的、由 SERVICE_ROLE 控制的 AWS 託管私鑰來核准兩筆大型鑄造。儘管攻擊者僅存入 $100,000 到 $200,000 的 USDC 作為抵押，該協議仍發行了 8000 萬枚未有資產支撐的 USR 代幣。駭客迅速將 3,400 萬枚 USR 交換為 11,409 枚 ETH，當時約為 $24.5 million，在流動性被耗用之前完成。剩餘代幣則在利用者的錢包中沉睡，且多數以 wstUSR 形式包裝。

駭客行為導致的去脫鉤（depeg）使得 USR 在 Curve 最低跌至 $0.025。Resolv 的合約升級此前曾因中心化風險而受到批評，類似於其他專案（例如 Flow）曾考慮過的槓桿做法；但這次操作確實成功將該協議的總預估損失上限控制在約 $34 million。

DeFi 協議因 Resolv 漏洞而承受擴散影響

持有 Resolv 旗下金庫（vault）曝險的 DeFi 協議遭到波及。Morpho 金庫吸收了數百萬美元的壞帳，觸發大量資金外流。DeFi 分析平台 Trading Strategy 指出，由於 Resolv 私鑰遭到入侵，許多金庫變得缺乏流動性，使抵押品在一夜之間變得毫無價值。部分 Morpho 金庫突然呈現高收益，但這些金庫同樣缺乏流動性，存款人也不太可能能夠提領。

一些優良的託管（curators）透過將最大存款額設定為零來阻止新增存款，但金庫標準並沒有針對「已損壞」金庫的獨立旗標，只有「已達最大容量」而已。Trading Strategy 會手動將問題金庫列入黑名單，但這個流程需要時間。

更廣泛的 DeFi 劫持模式持續：Drift 與 Balancer

Resolv 漏洞事件使大型規模的 DeFi 資安事件呈現出一個陰暗的模式。就在 Resolv 之後幾週，負責營利的自動做市商先驅（automated market maker）Balancer Labs 宣布其將關閉，原因是它在 2025 年 11 月的攻擊中損失了 $128 million。Balancer 的執行長指出，此次漏洞帶來了持續的法律後續與財務代價，攻擊透過被操縱的金庫互動耗盡了流動性池。Balancer DAO 與該協議仍然存續，但核心開發公司已實質停止。

2026 年 4 月初，Drift Protocol 報告稱在 4 月 1 日發生與北韓國家支持駭客相關的 $285 million 損失。對 Resolv 而言，提出最終損失數字 $34 million，為復原提供了明確的基準，並爭取到 Balancer 所沒有的協議時間。運作仍處於暫停狀態。

FAQ

Resolv 漏洞是如何發生的？

一名攻擊者竊取了一枚用於控制 SERVICE_ROLE 的 AWS 託管私鑰，藉此讓其能以僅 $100,000–$200,000 的抵押品鑄造 8000 萬枚未有資產支撐的 USR 代幣。他們在流動性耗盡前，將 3,400 萬枚 USR 交換為 11,409 枚 ETH（≈$24.5 million）。Resolv 之後透過合約升級銷毀了剩餘的 3,673 萬枚代幣。

Resolv 的最終預估損失是多少？

Resolv 的淨損失約為 $34 million。攻擊者從中提取了約 $24.5 million 的 ETH，而該協議的升級透過銷毀剩餘由駭客持有的代幣，阻止了進一步損失。

近期駭客事件還影響了哪些其他 DeFi 協議？

Balancer Labs 在 2025 年 11 月遭遇 $128 million 的駭客攻擊後關閉；而 Drift Protocol 則在 2026 年 4 月 1 日遭遇 $285 million 的漏洞。Morpho 金庫也吸收了來自 Resolv 事件的壞帳，導致其變得缺乏流動性並引發大量外流。