Incursión en Stablecoin: Hacker Robó 25 Millones a Través de Acuñación Falsa

TL;DR

Hacker Vació 25 Millones en una Mañana de Domingo

El domingo 22 de marzo de 2026, el protocolo Resolv USR fue afectado por uno de los ataques técnicamente más sofisticados en el sector DeFi hasta la fecha este año. El atacante comenzó depositando unos modestos 100.000 dólares en USDC a través de la función requestSwap en el contrato USR Counter – y recibió aproximadamente 50 millones de tokens USR sin respaldo, según análisis del fondo de criptomonedas D2 Finance. Esto equivale a un multiplicador de 500 veces el depósito.

Luego, el atacante acuñó 30 millones de USR adicionales, elevando el número total de tokens falsos a 80 millones. Estos fueron rápidamente intercambiados por USDC, USDt y finalmente Ether a través de intercambios descentralizados como Curve y Uniswap – una estrategia de retiro rápida y agresiva que desestabilizó inmediatamente el mecanismo de precios.

¿Qué Salió Mal?

La causa de la vulnerabilidad aún no ha sido confirmada definitivamente, pero varios actores apuntan en la misma dirección. El perfil de análisis DeFi YAM indica en un análisis preliminar que el atacante probablemente obtuvo control sobre la función SERVICE_ROLE, que suministra parámetros al contrato de acuñación. Esto permitió eludir los controles de validación normales entre la solicitud y la ejecución de la acuñación.

La empresa de seguridad Pashov, que realizó una auditoría del módulo de staking de Resolv en julio de 2025, se inclina a pensar que la causa raíz fue un error de seguridad operacional – posiblemente un par de claves privadas comprometidas – en lugar de una debilidad de diseño fundamental en el protocolo. D2 Finance menciona además la posibilidad de un oráculo manipulado o una instancia de firma fuera de la cadena comprometida.

Desvinculación Dramática y Reacción Caótica del Mercado

Cuando los tokens falsos comenzaron a inundar el mercado, el precio de USR colapsó. En Curve Finance, el precio alcanzó un mínimo de 2.5 centavos – una caída de casi el 97.5 por ciento desde su paridad con el dólar. Otras plataformas mostraron precios entre 14 y 25 centavos en los peores momentos. Según informes de The Defiant, el token se recuperó algo – a entre 42 y 87 centavos dependiendo de la plataforma y el momento – pero se mantuvo muy por debajo de su valor previsto de un dólar.

Los protocolos Lido, Morpho y Aave, todos con exposición a USR, reaccionaron rápidamente pausando mercados o aislando bóvedas para limitar una mayor propagación.

Resolv Labs: Las Reservas de Colateral Están Intactas

Resolv Labs confirmó el ataque e inmediatamente pausó todas las funciones del protocolo. En un comunicado, el equipo enfatizó que las reservas de colateral "permanecen completamente intactas", y que el problema estaba "aislado a la mecánica de emisión de USR". Según la compañía, la pérdida está relacionada con la creación de tokens sin respaldo, no con el drenaje de la masa de seguridad existente.

El equipo informa que están trabajando en una investigación y un plan de recuperación, pero a la fecha de publicación, no se ha presentado ningún post-mortem formal ni una hoja de ruta concreta hacia la recuperación de la paridad.

La Recuperación Será Desafiante

Las perspectivas de recuperar los fondos son limitadas. El atacante convirtió rápidamente los valores robados a ETH, lo que hace que la reversión directa sea prácticamente imposible sin la cooperación activa de intercambios centralizados u operadores de puentes. Se advierte a los poseedores de USR que traten el token como muy riesgoso hasta que haya claridad sobre un camino creíble para volver a la paridad con el dólar.