Resolv USR崩壊解剖——$25Mを奪った計画的攻撃とDeFiセキュリティの盲点

2026年03月23日

masao i

#セキュリティ

#DeFi(分散型金融)

#Stablecoin

この記事を簡単にまとめると（AI要約）

1. Resolv USRとRLPの仕組み
2. 攻撃の全容——80分間の記録
- ステップ0：準備と侵入（前日から）
- ステップ1：50M USRの不正発行（02:21 UTC）
- ステップ2：市場への波及（02:38 UTC）
- ステップ3：30M USRの追加発行（03:41 UTC）——もう1時間、鍵は生きていた
- ステップ4：換金と最終保管——8時間にわたる段階的な資金抽出
3. 考察——設計の問題か、前提の問題か
- 3-1. 18回の監査は何を保証したか
- 3-2.「分散型」がAWSに依存するとき
- 3-3. Terra Lunaとの比較
- 3-4. 静的な監査から動的な監視へ
- まとめ

あなたがDeFiプロトコルのリスクを評価するとき、何を確認しますか？

多くの人はスマートコントラクトの監査レポートを調べます。監査企業の名前、審査されたコントラクト、発見された脆弱性とその対処状況。これらは今日の標準的なデューデリジェンスです。

では、そのプロトコルが「どのクラウドサービスに秘密鍵を預けているか」まで確認しているでしょうか。

2026年3月22日の夜明け前、Resolv Labs（USRステーブルコイン）で起きたことは、この問いに否応なく向き合わせる事件でした。コードは一行も壊れませんでした。監査済みのコントラクトは設計通りに動作しました。それでも約$25Mが消えました。

本稿では、攻撃の記録をオンチェーンデータで検証しながら、この事件が示すDeFiセキュリティの構造的な問いを考察します。

1. Resolv USRとRLPの仕組み

まず、Resolvがどのような設計のプロトコルかを整理します。

Resolvは、ETHを担保に$1ペッグを目指すステーブルコイン「USR」を発行するプロトコルです。担保のETHをそのまま保有するのではなく、デルタニュートラル戦略——先物のショートポジションを組み合わせることで価格変動リスクを相殺し、ステーキング報酬やファンディングレートを収益源とする設計です。同類のモデルとしてはEthena（USDe）が挙げられますが、ResolvはETH担保一本化と独自の保険レイヤーが特徴です。

プロトコルはUSRとRLPという二種類のトークンを持ちます。