Secondo Cointelegraph, il protocollo di finanza decentralizzata (DeFi) Resupply ha confermato una violazione della sicurezza nel suo mercato wstUSR, con una stima di perdite in criptovalute pari a 9,6 milioni di dollari. La violazione sarebbe stata innescata da un attacco di manipolazione dei prezzi che coinvolgeva l'integrazione del protocollo con un stablecoin sintetico noto come cvcrvUSD. La società di sicurezza blockchain Cyvers ha identificato l'exploit, con il co-fondatore e direttore tecnico Meir Dolev che ha spiegato che l'attaccante ha manipolato un bug di prezzo nel contratto ResupplyPair. Questo ha permesso loro di prendere in prestito 10 milioni di reUSD utilizzando un collaterale minimo. Si dice che l'attaccante sia stato finanziato tramite Tornado Cash e che i fondi rubati siano stati convertiti in Ether (ETH) e distribuiti su due indirizzi.
L'incidente sottolinea le sfide di sicurezza in corso all'interno dei protocolli DeFi, specialmente quelli che coinvolgono asset sintetici e meccanismi dipendenti dagli oracle. Dolev ha suggerito che diverse misure di sicurezza, come una corretta validazione degli input, controlli sugli oracle e test di casi limite, avrebbero potuto prevenire l'attacco. Ha anche raccomandato che i protocolli implementino controlli di sanità nella logica di prestito e monitorino anomalie in tempo reale per evitare violazioni simili. In risposta all'exploit, Resupply ha emesso una dichiarazione riconoscendo l'incidente e confermando che solo il suo mercato wstUSR è stato colpito. L'azienda ha sospeso i contratti interessati per prevenire ulteriori danni e ha promesso di rilasciare un'analisi post-mortem completa una volta che la situazione sarà stata esaminata a fondo.
Questo exploit di manipolazione dei prezzi su Resupply si verifica in mezzo a una tendenza più ampia di aumento delle perdite per hack nel settore delle criptovalute, che hanno raggiunto miliardi quest'anno. Il 4 giugno, la società di sicurezza crittografica CertiK ha riferito che oltre 2,1 miliardi di dollari erano già stati rubati attraverso hack ed exploit nel 2025. CertiK ha anche notato un cambiamento nelle tattiche degli hacker verso l'ingegneria sociale. In uno sviluppo correlato, la piattaforma di smart contract Fuzzland ha recentemente rivelato che un ex dipendente era responsabile dell'exploit da 2 milioni di dollari di Bedrock UniBTC nel 2024. L'insider avrebbe impiegato tattiche di ingegneria sociale, attacchi alla catena di approvvigionamento e tecniche di minaccia persistente avanzata per rubare dati sensibili utilizzati nell'exploit.