USR : Après l’exploit Resolv de 25 M$, l’ultimatum de 72h expire jeudi

Ce qu’il faut retenir :

• Resolv offre à l’attaquant de conserver 10% des fonds volés contre la restitution de 22,5 millions de dollars d’ici jeudi.
• L’exploit de 25 millions provient d’un rôle de minting privilégié sans limite ni signature multiple sur le contrat USR Counter.
• En cas de non-respect, Resolv activera le gel d’actifs via les exchanges centralisés et engagera des poursuites judiciaires.

Un calendrier serré pour éviter l’escalade

Resolv Labs a accordé jusqu’à jeudi à l’exploiteur de ses contrats pour éviter une riposte technique et judiciaire. L’émetteur de stablecoin basé à Abu Dhabi propose de laisser 10% des fonds volés à l’attaquant contre le retour des 22,5 millions de dollars restants sous forme d’ether et de tokens USR encore en sa possession.

L’ultimatum, transmis lundi via un message onchain, expire après 72 heures et prévoit une alternative : l’attaquant peut démontrer ses intentions de recherche sécuritaire en white hat par email plutôt que de négocier le règlement financier.

Une faille structurelle dans la gouvernance du protocole

L’exploit du 22 mars exploite une vulnérabilité majeure dans l’architecture de Resolv : un rôle de minting privilégié contrôlé par un seul compte externe, sans limite maximale de frappe, vérification d’oracle ou autorisation multi-signature. L’attaquant a d’abord déposé 200 000 dollars en USDC dans le contrat USR Counter pour recevoir 50 millions de tokens USR, puis a exécuté une seconde transaction générant 30 millions d’USR supplémentaires.

Ces 80 millions d’USR non adossés ont été échangés contre des stablecoins sur les DEX avant conversion en 11 409 ETH. Cette création de tokens sans contrepartie menace la stabilité du marché secondaire de l’USR selon les équipes du protocole.

Ce qu’il faut surveiller

Si l’attaquant ignore l’ultimatum d’ici jeudi, Resolv déclenchera des mesures de rétorsion coordonnées : gel ou restriction d’actifs via les exchanges centralisés, ponts et fournisseurs d’infrastructure, publication des adresses et traces de transactions, puis engagement d’entreprises d’analyse blockchain et des forces de l’ordre.

Les détenteurs d’USR présents sur la liste blanche avant l’incident peuvent désormais racheter leurs tokens, mais Resolv Digital Assets Ltd. n’a pas encore communiqué de calendrier pour les autres utilisateurs.