वेरुस इथेरियम ब्रिज को एक और शोषण का सामना करना पड़ा है, जिसमें हमलावर ने मई में प्रभावित हुए उसी कॉन्ट्रैक्ट से लगभग $7.54 मिलियन के एसेट निकाल लिए हैं। 

ब्लॉकचेन सिक्योरिटी फर्म ब्लॉकएड ने 23 जुलाई को इथेरियम पर हमले का पता लगाया और कहा कि हमलावर ने ब्रिज के इंपोर्ट पाथ का उपयोग ऐसे भुगतान को ट्रिगर करने के लिए किया जो सोर्स साइड पर मैचिंग एसेट द्वारा समर्थित नहीं थे।

ब्लॉकएड के अनुसार, इस घटना में मई के उल्लंघन से एक अलग लेनदेन और हमलावर-नियंत्रित वॉलेट शामिल था। फर्म ने कहा कि नए हमले में वही ब्रिज कॉन्ट्रैक्ट, एंट्री पाथ और स्पष्ट बग क्लास का उपयोग किया गया था। हालांकि, जब अलर्ट प्रकाशित किया गया था तब सटीक मूल कारण जांच के अधीन था।

वेरुस ब्रिज शोषण से कई एसेट की निकासी

ऑनचेन रिकॉर्ड से पता चलता है कि शोषण लेनदेन ने 23 जुलाई को 03:45 UTC पर वेरुस इथेरियम ब्रिज कॉन्ट्रैक्ट के साथ इंटरैक्ट किया। लेनदेन ने लगभग 1,137 ETH और कई टोकन एक हमलावर-नियंत्रित एड्रेस पर ट्रांसफर किए। इन एसेट में tBTC, USDC, USDT, EURC, MKR और scrvUSD शामिल थे। ईथरस्कैन ने उस समय मुख्य ब्रिज आउटफ्लो का मूल्य लगभग $7.54 मिलियन आंका।

ब्लॉकएड ने कहा कि हमलावर ने अनसमर्थित इथेरियम-साइड भुगतान उत्पन्न करने के लिए ब्रिज इंपोर्ट प्रक्रिया का दुरुपयोग किया। फर्म ने प्राप्तकर्ता एड्रेस को 0xCFd0…2D54 के रूप में पहचाना और निकासी को पिछले वेरुस घटना में शामिल उसी ब्रिज कॉन्ट्रैक्ट से जोड़ा। इसने अभी तक नए लेनदेन पर एक पूरी तकनीकी रिपोर्ट प्रकाशित नहीं की है।

इसके अतिरिक्त, नवीनतम शोषण वेरुस इथेरियम ब्रिज द्वारा एक अलग हमले में लगभग $11.58 मिलियन खोने के लगभग दो महीने बाद आया है। सिक्योरिटी शोधकर्ताओं ने कहा कि मई के हमलावर ने एक वैलिडेशन गैप का फायदा उठाया, जिसने एक जाली क्रॉस-चेन इंपोर्ट को सत्यापन पास करने की अनुमति दी, भले ही सोर्स साइड पर कमिट किया गया मूल्य इथेरियम पर जारी किए गए भुगतान से मेल नहीं खाता था।

ब्लॉकएड ने कहा कि जुलाई का हमला “मई 2026 में हुई पिछली वेरुस इथेरियम ब्रिज घटना से संबंधित प्रतीत होता है।” इसने दोनों घटनाओं को “वही ब्रिज कॉन्ट्रैक्ट, वही एंट्री पाथ, और वही बग क्लास” शामिल बताते हुए वर्णित किया, हालांकि नवीनतम शोषण के लिए एक पुष्ट तकनीकी कारण जारी नहीं किया गया है।

जैसा कि क्रिप्टो.न्यूज ने मई में रिपोर्ट किया था, पहले वेरुस ब्रिज हमलावर ने बाद में 4,052.4 ETH लौटा दिए, जिसकी कीमत उस समय लगभग $8.5 मिलियन थी, जब परियोजना ने निपटान की शर्तें पेश कीं। हमलावर ने 1,350 ETH को इनाम के रूप में रखा। लौटाई गई राशि चोरी हुए एसेट को ETH में बदलने के बाद हमलावर द्वारा रखे गए फंड का लगभग 75% थी।

कुछ ही घंटों के भीतर तीन शोषण की रिपोर्ट

वेरुस हमला घंटों के भीतर रिपोर्ट की गई सुरक्षा घटनाओं की एक व्यापक श्रृंखला का हिस्सा था। ऑनचेन ट्रैकर लुकऑनचेन ने कहा कि AFX ट्रेड, वेरुस और B² नेटवर्क को शोषण का सामना करना पड़ा है, जिसमें कुल मिलाकर लगभग $35.55 मिलियन का नुकसान हुआ है। इन आंकड़ों में AFX से $24.15 मिलियन, वेरुस से लगभग $7.55 मिलियन और B² नेटवर्क से लगभग $3.86 मिलियन शामिल थे।

आज पहले, एक AFX-संचालित ब्रिज ने USDC में $24.15 मिलियन खो दिए, इससे पहले कि हमलावर ने फंड को इथेरियम में ले जाया और उन्हें 12,467 ETH में बदल दिया। ऑफचेन लैब्स ने कहा कि इस घटना ने आर्बिट्रम के मूल ब्रिज को प्रभावित नहीं किया और यह एक थर्ड-पार्टी प्रोटोकॉल द्वारा संचालित इंफ्रास्ट्रक्चर से उत्पन्न हुआ था।

ये घटनाएं क्रॉस-चेन सिस्टम की निरंतर जांच को बढ़ाती हैं। एक हालिया क्रिप्टो.न्यूज एक्सप्लेनर ने बताया कि ब्रिज को अलग-अलग ब्लॉकचेन पर घटनाओं को सत्यापित करना चाहिए, जबकि साझा रिजर्व में रखे गए एसेट को नियंत्रित करना चाहिए। मैसेज वैलिडेशन, कॉन्ट्रैक्ट लॉजिक या एक्सेस कंट्रोल में त्रुटियां एक लेनदेन को वैध मिलान ट्रांसफर के बिना एसेट जारी करने की अनुमति दे सकती हैं।

मूल कारण और रिकवरी विवरण लंबित

ब्लॉकएड ने कहा कि नया वेरुस शोषण मई में देखी गई उसी प्रकार की कमजोरी से संबंधित प्रतीत होता है, लेकिन उसने यह पुष्टि करने से इनकार कर दिया कि जुलाई की निकासी का कारण सटीक पिछली भेद्यता थी। सुरक्षा विश्लेषण के अनुसार, मई के हमले में सोर्स चेन पर कमिट किए गए मूल्य और इथेरियम पर जारी की गई राशि के बीच वैलिडेशन की कमी शामिल थी।

नवीनतम लेनदेन इस बात की पुष्टि करता है कि फंड वेरुस ब्रिज से नए हमलावर के वॉलेट में चले गए, लेकिन समीक्षित स्रोतों ने यह पुष्टि नहीं की कि क्या तब से कोई एसेट फ्रीज, वापस या रिकवर किया गया है। उन्होंने ब्रिज ऑपरेशंस में बदलाव के लिए कोई नई सुधार योजना या समय-सीमा भी प्रदान नहीं की।

आगे के तकनीकी विवरण यह स्पष्ट कर सकते हैं कि मई की खामी अभी भी शोषण योग्य थी, क्या एक संबंधित कमजोरी ने नई घटना का कारण बनी, या क्या हमलावर ने उसी इंपोर्ट प्रक्रिया के माध्यम से एक और मार्ग का उपयोग किया। हमलावर की अगली फंड गतिविधियां यह भी दिखा सकती हैं कि चोरी हुए एसेट को परिवर्तित किया गया है या अन्य सेवाओं के माध्यम से ले जाया गया है।

यह मामला एक विकसित होती कहानी बना हुआ है।