22 марта атакующий воспользовался скомпрометированной облачной инфраструктурой Resolv, где хранился ключ сервиса, подтверждавшего выпуск USR. По разбору Chainalysis, он внёс примерно $100–200 тыс. USDC, но с помощью привилегированной подписи выпустил около 80 млн USR. Контракт проверял подпись, однако не ограничивал максимальное количество токенов на единицу внесённого обеспечения.
Затем злоумышленник перевёл выпущенные токены в wstUSR и обменивал их на другие активы. Chainalysis оценивает извлечённую к концу атаки стоимость примерно в $25 млн в ETH; заголовок его разбора использует оценку $23 млн. Эти цифры относятся к разным оценкам ущерба, поэтому их нельзя подавать как точную сумму одной транзакции.
Появление необеспеченных USR обрушило цену токена примерно на 80% и вынудило протокол остановить операции. Причиной был контроль над внешним ключом и отсутствие лимита выпуска в контракте, а не ошибка вычисления баланса в обычной пользовательской операции.