리졸브 랩스(Resolv Labs) USR 스테이블코인 2500만 달러 해킹·디페깅 사태

2026년 3월 22일 공격자는 리졸브의 한 협력업체 직원이 과거 다른 프로젝트에서 사용했던 깃허브(GitHub) 계정 인증정보를 확보해 침투를 시작하는 전형적인 공급망 공격을 감행했다. 공격자는 이 계정을 통해 악성 CI/CD 워크플로를 배포해 클라우드 인프라 인증정보를 빼돌렸고, 이를 발판 삼아 권한을 상승시켜 리졸브의 핵심 서명키인 SERVICE_ROLE 키를 탈취했다. 이후 단 20만 달러 상당의 USDC 담보를 두 차례 예치하는 것만으로 각각 5000만 개, 3000만 개씩 총 8000만 개의 무담보 USR 스테이블코인을 발행했다. 공격자는 탈취한 자금을 여러 지갑에 분산했다가 최종적으로 1만1408 ETH(약 2500만 달러)로 환전해 하나의 지갑에 모았다. 이 사건으로 담보자산 없이 발행된 스테이블코인이 시장에 대량 풀리며 USR의 1달러 페그가 단 17분 만에 0.025달러로 97% 폭락했다.

해킹이 발생했음에도 리졸브 팀은 멀티시그(다중서명) 승인 절차 때문에 약 3시간이 지난 뒤에야 프로토콜 운영을 긴급 중단할 수 있었다. 이 지연 시간 동안 USR 페그 붕괴가 더욱 심화됐고, USR을 담보나 예치 자산으로 취급하던 에이브(Aave), 인버스파이낸스(Inverse Finance), 리도(Lido), 플루이드(Fluid), 비너스프로토콜(Venus) 등 여러 디파이 프로토콜에서도 연쇄적으로 리스크 경보와 시장 동결 조치가 이어졌다. 체이널리시스는 사후 분석에서 이번 사건이 스마트컨트랙트 결함이 아니라 사람과 조직의 취약점(공급망·권한관리)을 노린 공격이라는 점에서 업계에 중요한 경종을 울렸다고 평가했다. 공격자의 지갑은 이후에도 믹서나 브릿지를 전혀 사용하지 않은 채 자금을 그대로 보유하고 있어 이례적이라는 분석이 나왔다. 이 사태는 스테이블코인 담보 구조에 의존하는 디파이 생태계 전반의 취약성을 다시 한번 드러냈다.

2026년 3월 26일 리졸브 파운데이션은 해킹 발생 이전부터 USR을 보유하고 있던 이용자의 98%에게 1대1 비율로 보상을 완료했다고 발표했다. 동시에 부정 발행된 8000만 개의 USR 중 57%를 소각하거나 유통망에서 회수하는 데 성공했다고 밝혔다. 외부 포렌식 업체 맨디언트(Mandiant)와 제로섀도우(ZeroShadow)가 참여한 조사에서는 내부자 연루 정황이 발견되지 않았으며, 순수하게 외부 공급망 공격이었다는 결론이 나왔다. 리졸브 팀의 신속한 보상 조치는 유사한 대형 해킹 사건들과 비교해 이례적으로 빠른 대응으로 평가받았다. 그러나 여전히 시중에 남아있는 부정 발행 토큰 처리와 담보 구조 재정비 과제가 남아 있었다.

2026년 4월 6일 리졸브는 컨트랙트 업그레이드를 통해 아직 소각되지 않고 남아 있던 3673만 개의 래핑된 무담보 USR 토큰을 완전히 파괴했다고 발표했다. 이는 공격자가 향후 이 토큰들을 시장에 유통시켜 추가 차익을 노릴 가능성을 원천 차단하려는 조치였다. 이로써 해킹 발생 약 2주 만에 부정 발행된 물량 대부분이 정리되며 USR의 담보 구조가 정상화 수순을 밟게 됐다. 리졸브 측은 이번 조치로 남은 공격자 잔여 이익을 사실상 무력화했다고 밝혔다. 이 사건은 신속한 이용자 보상과 사후 처리로 마무리됐지만, 협력업체 계정 관리 소홀이 대형 디파이 프로토콜 전체를 위협할 수 있음을 보여준 사례로 남았다.

리졸브 사태가 수습된 이후 더디파이언트(The Defiant) 등 업계 매체들은 이번 사건이 디파이 역사상 네 번째로 발생한 '서명키·권한 탈취를 통한 무담보 스테이블코인 발행형' 해킹이라고 지적하며 반복되는 취약점 패턴에 우려를 표했다. 분석가들은 프로토콜들이 스마트컨트랙트 감사에는 많은 자원을 투입하면서도, 정작 실제 발행 권한을 쥔 운영 키·서비스 계정 관리 체계에는 상대적으로 소홀했다는 공통점을 지적했다. 이 사건 이후 여러 스테이블코인 프로토콜들이 자체적으로 서명키 관리 체계와 협력업체 접근권한 정책을 재점검하기 시작했다. 업계에서는 스마트컨트랙트 자체의 코드 감사만큼이나 조직·인적 보안 체계에 대한 표준이 시급하다는 목소리가 커졌다. 리졸브 사건은 결국 코드가 아닌 사람을 공략한 공격이 대형 디파이 프로토콜에도 치명적일 수 있음을 보여준 대표 사례로 남았다.