Resolv-Postmortem: Angreifer zapften 25 Mio. US-Dollar in ETH über missbrauchte Zugangsdaten ab
Resolv hat Details zu dem Angriff vom 22. März 2026 veröffentlicht: Unbekannte verschafften sich über kompromittierte Zugangsdaten Signierrechte, prägten insgesamt 80 Mio. USR und wandelten die Werte innerhalb kurzer Zeit in ETH um. Abgezogen wurden dabei rund 25 Mio. US-Dollar in Ether.
Nach Angaben des Teams begann die Angriffskette bei einem kompromittierten Drittprojekt, das mit einem Auftragnehmer-Account verknüpft war. Dadurch wurden GitHub-Zugangsdaten offengelegt und der Zugriff auf interne Repositories ermöglicht. Schutzmechanismen in der Produktion verhinderten eine direkte Code-Auslieferung, woraufhin die Angreifer einen bösartigen Workflow einsetzten, um weitere sensible Credentials unbemerkt abzuziehen.
Anschließend drangen sie in Cloud-Systeme vor, kartierten die Infrastruktur und nahmen API-Keys ins Visier. Durch Änderungen an Zugriffsrichtlinien rund um einen Signing-Key eskalierten sie schließlich ihre Berechtigungen und konnten Minting-Vorgänge autorisieren.
Mit erlangter Signierkontrolle erfolgte die erste Transaktion um 02:21 UTC: 50 Mio. USR wurden geprägt. Kurz darauf starteten die Angreifer über mehrere Wallets und dezentrale Börsen den Swap in ETH. Um 03:41 UTC folgte eine zweite Prägung über weitere 30 Mio. USR. Insgesamt dauerte die Konvertierung und der Abfluss der Mittel rund 80 Minuten.
Resolv zufolge schlugen die Monitoring-Systeme frühzeitig wegen auffälliger Aktivität an. Daraufhin wurden Backends gestoppt und Maßnahmen zur Vertragsunterbrechung vorbereitet. Bis 05:30 UTC seien kompromittierte Credentials widerrufen worden, womit der Zugriff der Angreifer endete. Zudem wurden relevante Smart Contracts pausiert und betroffene Infrastruktur heruntergefahren.
Nach der Eindämmung neutralisierte das Protokoll nach eigenen Angaben rund 46 Mio. USR über Token-Burns und Blacklist-Kontrollen. Inhaber von USR vor dem Vorfall sollen vollständig entschädigt werden; der Großteil der Rücknahmen sei bereits abgewickelt.
An den Untersuchungen sind externe Firmen beteiligt, darunter Hypernative, Hexens, MixBytes und SEAL 911. Weitere Reviews erfolgen mit Mandiant und ZeroShadow, mit Fokus auf Infrastrukturhärtung und Nachverfolgung der Mittel. Resolv teilte mit, der Betrieb bleibe bis zum Abschluss der Forensik und laufender System-Upgrades pausiert.
