Stablecoin USR bị hack 25 triệu USD, mất neo giá sau sự cố lộ khóa ký trên AWS

Theo CoinDesk đưa tin ngày 22 (giờ địa phương), **từ Ethereum(ETH)** thế chấp phát hành stablecoin **từ USR** đã mất neo tỷ giá sau một vụ tấn công quy mô lớn. Kẻ tấn công bị nghi ngờ đã phát hành trái phép token, chiếm đoạt tối thiểu 25 triệu đô la Mỹ (khoảng 371 tỷ đồng), khiến cấu trúc thế chấp của **từ USR** gần như sụp đổ.

Theo mô tả từ nhóm phát triển, sự cố xuất phát từ việc hạ tầng cốt lõi của giao thức Resolv bị xâm phạm. Công ty phân tích blockchain Chainalysis cho biết kẻ tấn công đã chiếm đoạt khóa ký lưu trữ trên dịch vụ quản lý khóa của AWS, từ đó ký duyệt giao dịch phát hành token với quyền hợp lệ trên hệ thống. Về bản chất, đây là một vụ tấn công lợi dụng “quyền nội bộ” chứ không phải lỗ hổng hợp đồng thông minh thuần túy.

Trong tổng cộng hai giao dịch, kẻ tấn công đã phát hành khoảng 80 triệu **từ USR**, gồm một lệnh 50 triệu và một lệnh 30 triệu. Số token này được tạo ra mà gần như không có tài sản thế chấp tương ứng. Số dư thực tế trong kho thế chấp chỉ ở mức 100.000–200.000 USDC, nhưng cấu trúc hoán đổi của giao thức đã bị lợi dụng để nhân lên khối lượng **từ USR** vô căn cứ so với tài sản bảo chứng.

Sau khi phát hành, địa chỉ tấn công đã chuyển đổi lượng lớn **từ USR** sang wstUSR, rồi nhanh chóng hoán đổi sang các stablecoin khác và **từ Ethereum(ETH)**. Chuỗi giao dịch đi qua nhiều sàn giao dịch phi tập trung (DEX) và cầu nối (bridge), khiến dòng tiền trở nên phức tạp và khó truy vết hơn đối với các công cụ phân tích on-chain.

Resolv thừa nhận có tình trạng rò rỉ private key và ngay lập tức tạm dừng các hợp đồng liên quan. Khoảng 9 triệu **từ USR** đã được đốt (burn) khẩn cấp nhằm hạn chế thiệt hại, song một phần đáng kể số tiền đã bị chuyển ra ngoài. Trong thời gian diễn ra sự cố, vẫn có khoảng 500.000 đô la được xử lý hoàn trả cho người dùng, cho thấy hệ thống chưa kịp “đóng băng” hoàn toàn khi vụ tấn công đang diễn ra.

Chainalysis ước tính hiện kẻ tấn công đang nắm giữ khoảng 11.400 **từ Ethereum(ETH)**, tương đương khoảng 25 triệu đô la tại thời điểm đó. Ngoài ra, ví tấn công vẫn còn hơn 20 triệu wstUSR, nhưng giá trị thị trường của số token này đã giảm mạnh sau khi **từ USR** mất neo.

Ngay sau vụ tấn công, giá **từ USR** rơi thẳng xuống vùng 0,14 đô la, ghi nhận mức đáy lịch sử. Dù đã có nhịp hồi nhẹ, tính trong ngày giá vẫn giảm hơn 57% so với trước sự cố, phản ánh niềm tin của thị trường gần như bị xóa sạch. Trong tổng nguồn cung lưu hành khoảng 176 triệu token, ít nhất 71 triệu **từ USR** được cho là “phát hành trái phép” liên quan trực tiếp đến vụ hack.

Đội ngũ Resolv cho biết đã bắt đầu quy trình hoàn trả cho lượng **từ USR** phát hành trước khi xảy ra tấn công, ưu tiên các địa chỉ nằm trong danh sách trắng (whitelist). Họ cũng khuyến nghị người dùng tạm dừng mọi hoạt động giao dịch với **từ USR** cho đến khi có thông báo mới, đồng thời hợp tác với các đối tác và cơ quan chức năng để truy vết dòng tiền và phong tỏa tài sản nếu có thể.

Theo khảo sát của Ripple(Ripple) với các lãnh đạo tài chính, 74% đánh giá tích cực vai trò của stablecoin như một công cụ quản lý tiền mặt, nhưng tới 89% coi “hạ tầng bảo mật” là yếu tố quan trọng nhất khi lựa chọn sử dụng loại tài sản này. Vụ việc của **từ USR** và Resolv vì vậy ngay lập tức được giới chuyên môn nhắc tới như một minh chứng điển hình về rủi ro nội tại của mô hình stablecoin.

bình luận Vụ hack **từ USR** cho thấy chỉ cần một điểm yếu duy nhất ở lớp hạ tầng bảo mật – như quản lý khóa ký trên đám mây – cũng đủ để phá vỡ toàn bộ cấu trúc thế chấp. Dù cơ chế phát hành và dự trữ có minh bạch đến đâu, nếu khóa quản trị bị chiếm quyền, stablecoin vẫn có thể bị “in vô hạn” và mất neo chỉ trong vài giao dịch. Trong bối cảnh stablecoin ngày càng được tổ chức tài chính truyền thống quan tâm, sự cố này có thể thúc đẩy các yêu cầu giám sát chặt chẽ hơn về quản lý khóa, phân quyền ký và kiểm toán bảo mật đối với những dự án như **từ USR**.