El informe forense de Resolv destapa un drenaje de 25 millones de dólares en cripto tras el robo de credenciales
Resolv detalló que un ataque coordinado contra su infraestructura el 22 de marzo de 2026 permitió a los intrusos obtener acceso de firma, acuñar 80 millones de USR y convertirlos rápidamente en ETH, con una extracción estimada de 25 millones de dólares.
La compañía explicó que el incidente se originó en un proyecto de terceros comprometido vinculado a la cuenta de un contratista. Desde ahí se expusieron credenciales de GitHub que abrieron la puerta a repositorios internos. Las barreras en producción impidieron desplegar código de forma directa, por lo que los atacantes cambiaron de enfoque y desplegaron un flujo de trabajo malicioso para extraer credenciales sensibles sin levantar sospechas.
Con ese acceso, avanzaron hacia sistemas en la nube, mapearon la infraestructura y buscaron claves de API. El siguiente paso fue elevar privilegios mediante la modificación de políticas de acceso asociadas a una clave de firma, lo que les permitió autorizar operaciones de acuñación.
Con el control de firma en su poder, ejecutaron la primera transacción a las 02:21 UTC, acuñando 50 millones de USR. Poco después comenzaron a intercambiar los tokens por ETH a través de múltiples carteras y exchanges descentralizados. A las 03:41 UTC realizaron una segunda acuñación de 30 millones de USR. En conjunto, la conversión de activos se produjo durante unos 80 minutos y culminó en la salida de unos 25 millones de dólares.
Resolv indicó que sus sistemas de monitorización detectaron actividad anómala de forma temprana, lo que activó la respuesta: se detuvieron servicios de backend y se prepararon pausas de contratos. La firma aseguró que a las 05:30 UTC ya había revocado las credenciales comprometidas, cortando el acceso de los atacantes, además de pausar los contratos inteligentes relevantes y apagar la infraestructura afectada.
Tras contener el incidente, el protocolo neutralizó aproximadamente 46 millones de USR mediante quemas de tokens y controles de lista negra. Resolv añadió que los tenedores de USR previos al ataque están recibiendo compensación íntegra, con la mayoría de los reembolsos ya procesados.
En la investigación participan firmas externas como Hypernative, Hexens, MixBytes y SEAL 911. Revisiones adicionales con Mandiant y ZeroShadow se centran en la seguridad de la infraestructura y el rastreo de fondos. Resolv afirmó que las operaciones continúan en pausa mientras avanzan el análisis forense y las mejoras del sistema.
