Resolv Protocol Hackeado: Stablecoin USR depeggou — O que aconteceu?

O Resolv Protocol foi criado para oferecer uma stablecoin 'yield-bearing' chamada USR — ou seja, uma stablecoin que alem de manter seu valor em torno de $1, ainda pagava rendimento para os detentores.

O mecanismo funcionava assim: usuarios depositavam colateral (USDC, ETH, etc.), o protocolo emitia USR lastreado nesse colateral, e o rendimento vinha de estrategias de hedge e posicoes neutras de mercado (delta neutral). Antes do exploit, o TVL do Resolv estava acima de $500 milhoes e o market cap do USR era em torno de $100 milhoes.

Era considerado um projeto promissor no nicho de 'stablecoins com yield' — o mesmo nicho em que o USDe da Ethena opera. Mas havia uma diferenca critica: a dependencia de um componente off-chain para validar a emissao de tokens. E foi exatamente esse ponto que virou o calcanhar de Aquiles do protocolo.

O ataque aconteceu em 22 de marco de 2026 e explorou uma vulnerabilidade no processo de mint (criacao) do USR.

Passo 1: O atacante identificou uma falha na validacao entre a solicitacao de mint e a confirmacao de colateral. A falha provavelmente envolveu uma chave privada comprometida ou um bug no componente off-chain que valida os depositos antes de autorizar a emissao.

Passo 2: Com apenas $100k-$200k em USDC como deposito, o atacante conseguiu que o protocolo emitisse 80 MILHOES de tokens USR sem cobertura real. Tokens que valeriam ~$80M se o peg se mantivesse.

Passo 3: O atacante vendeu rapidamente esses tokens nas pools de liquidez (Uniswap, Curve), trocando USR por USDC, USDT e ETH antes que o mercado percebesse o que estava acontecendo.

Passo 4: Resultado — $23-25 milhoes em ativos extraidos. A inundacao de 80M de USR sem lastro nas pools de liquidez colapsou o preco da stablecoin.

O Resolv Labs pausou todas as funcoes do protocolo imediatamente e abriu investigacao. A equipe esclareceu que o colateral das posicoes existentes permaneceu intacto — o problema foi a emissao de novos tokens sem cobertura, nao o roubo do colateral ja depositado. Mas isso nao consolou quem tinha USR na carteira.

A resposta esta na matematica das stablecoins: quando voce injeta 80 milhoes de tokens sem cobertura num mercado onde existem pools de liquidez finitas, o preco desaba.

A equacao do desastre: Antes do hack, existiam ~$100M em USR circulando, respaldado por $500M+ em TVL. Depois do hack, passou a existir ~$180M em USR em circulacao ($100M original + 80M sem cobertura). A proporcao de colateral/supply caiu abaixo de 100% — o protocolo ficou efetivamente insolvente para quem quisesse resgatar.

Nas pools de liquidez, o efeito foi ainda mais dramatico: as pools nao tinham liquidez suficiente para absorver 80M de tokens USR sendo vendidos ao mesmo tempo. O preco chegou a $0.025 em algumas pools antes de uma recuperacao parcial para a faixa de $0.42-$0.87 enquanto o mercado digeria a noticia.

Para os holders de USR, o cenario foi devastador: quem tinha $10.000 em USR viu isso virar $280-$870 da hora pra noite. A recuperacao total do peg depende de um plano de compensacao que o Resolv Labs ainda nao anunciou.

Antes de colocar capital em qualquer protocolo DeFi, faca essa checklist:

1. Auditorias de seguranca: Verifique se o protocolo foi auditado por firmas reconhecidas como Certik, Trail of Bits, OpenZeppelin ou Chainalysis. Acesse o repositorio GitHub e procure por audit reports. Um protocolo sem auditoria e como um banco sem seguro.

2. TVL e tempo de existencia: Use o DeFiLlama (defillama.com) para verificar o TVL historico. Protocolos com TVL crescente e consistente ha 1+ anos tendem a ser mais confiaveis. Desconfie de crescimento explosivo em semanas.

3. Componentes centralizados (off-chain): O protocolo depende de oracles de terceiros? Tem chaves privadas controladas por uma equipe? Tem validadores off-chain? Quanto mais componentes fora da blockchain, maior o vetor de ataque. O Resolv tinha exatamente esse problema.

4. Transparencia da equipe: Equipes doxxadas (identificadas publicamente) tem mais a perder se houver rugpull ou negligencia. Verifique se ha KYC dos fundadores, investidores conhecidos e historico do projeto.

5. Mecanismo de colateral: Entenda COMO o protocolo mantem o peg ou o rendimento. Se voce nao consegue explicar em 2 frases como o yield e gerado, nao invista. Complexidade desnecessaria e risco.

6. Plano de emergencia: Verifique se o protocolo tem pausas de emergencia e fundo de seguro. O Resolv pausou tudo rapidamente — isso foi positivo, mas nao evitou o dano aos holders.

Ferramentas recomendadas: DeFiLlama para TVL e yields, CertiK para auditorias e scores, DeBank para saude de posicoes e DefiSafety para scores de qualidade.