Resupply slachtoffer van $9.8M exploit door prijsmanipulatie

Een nieuwe aanval op een DeFi platform zorgt voor onrust in de sector. Resupply, een protocol dat draait op het ecosysteem van Yearn en Convex, is getroffen door een slimme exploit waarbij voor miljoenen dollars aan fondsen werd buitgemaakt.

Slimme truc met prijsmanipulatie kost Resupply miljoenen

Vanochtend ontdekte het detectiesysteem van Cyvers een verdachte transactie op ResupplyFi. Een aanvaller manipuleerde de prijs van cvcrvUSD en zorgt ervoor dat de exchange rate van een zogeheten ResupplyPair op nul terechtkwam. Dit gebeurde door misbruik te maken van een floor division fout in het smart contract.

Door deze manipulatie lukte het de hacker om voor slechts 1 wei aan onderpand gigantische hoeveelheden reUSD te lenen. De schade loopt op tot zo’n $9.8 miljoen, waarvan het grootste deel afkomstig is uit de spaarmarkt van crvUSD.

De buit wordt direct omgezet in Ethereum en verdeeld over twee adressen, waarvan één duidelijk is gefinancierd via Tornado Cash, een bekende mixer voor het verhullen van transacties.

Alleen wstUSR markt geraakt, platform blijft operationeel

ResupplyFi reageert snel via X: het getroffen contract in de wstUSR markt is onmiddellijk gepauzeerd. Volgens het protocol is dit het enige onderdeel dat geraakt is, en blijven andere delen van het systeem gewoon functioneren. Ze kondigen ook aan binnenkort met een volledige analyse te komen.

Resupply has experienced an exploit in the wstUSR market. The affected contract has been identified and paused. Only the wstUSR market was impacted and the protocol continues to function as intended. A full post-mortem will be shared as soon as a complete analysis of the…

— Resupply (@ResupplyFi) · June 26, 2025

De aanval richt zich uitsluitend op een specifieke markt binnen het protocol, waardoor het bredere systeem, dat stablecoins en liquiditeit beheert binnen Yearn en Convex, voorlopig stabiel blijft draaien. Toch roept het incident opnieuw vragen op over de veiligheid van DeFi smart contracts.

Schadestatistieken en betrokken adressen

Volgens gegevens van Cyvers raakt het platform ruim $9.8 miljoen aan crvUSD kwijt. De hacker, opererend via het adres 0x6d9f6e weet 803 ETH te bemachtigen, ter waarde van zo’n $2 miljoen, en haalt ook nog eens $3.6 miljoen aan USDC binnen.

In totaal wordt er voor meer dan $9.89 miljoen buitgemaakt in deze aanval. Opvallend is dat er slechts enkele adressen nodig waren om de aanval uit te voeren via een malafide smart contract.