Verus Ethereum Bridge kembali mengalami eksploitasi, dengan penyerang menguras sekitar $7,54 juta aset dari kontrak yang sama yang diretas pada bulan Mei.
Perusahaan keamanan blockchain Blockaid mendeteksi serangan di Ethereum pada 23 Juli dan menyatakan penyerang menggunakan jalur impor bridge untuk memicu pembayaran yang tidak didukung oleh aset yang sesuai di sisi sumber.
Insiden ini melibatkan transaksi yang berbeda dan dompet yang dikendalikan penyerang dari pelanggaran Mei, menurut Blockaid. Perusahaan tersebut mengatakan serangan baru ini menggunakan kontrak bridge, jalur masuk, dan kelas bug yang sama. Namun, penyebab utama yang pasti masih dalam penyelidikan saat peringatan itu diterbitkan.
Catatan onchain menunjukkan transaksi eksploitasi berinteraksi dengan kontrak Verus Ethereum Bridge pada pukul 03:45 UTC pada 23 Juli. Transaksi tersebut mentransfer sekitar 1.137 ETH dan beberapa token ke alamat yang dikendalikan penyerang. Aset yang termasuk di dalamnya adalah tBTC, USDC, USDT, EURC, MKR, dan scrvUSD. Etherscan menilai arus keluar utama bridge tersebut sekitar $7,54 juta pada saat itu.
Blockaid mengatakan penyerang menyalahgunakan proses impor bridge untuk menghasilkan pembayaran sisi Ethereum yang tidak didukung. Perusahaan tersebut mengidentifikasi alamat penerima sebagai 0xCFd0…2D54 dan menghubungkan penarikan tersebut ke kontrak bridge yang sama yang terlibat dalam insiden Verus sebelumnya. Mereka belum menerbitkan laporan teknis lengkap mengenai transaksi baru ini.
Selain itu, eksploitasi terbaru ini terjadi sekitar dua bulan setelah Verus Ethereum Bridge kehilangan sekitar $11,58 juta dalam serangan terpisah. Peneliti keamanan mengatakan penyerang Mei mengeksploitasi celah validasi yang memungkinkan impor lintas-rantai palsu melewati verifikasi meskipun nilai yang dikomit di sisi sumber tidak cocok dengan pembayaran yang dilepaskan di Ethereum.
Blockaid mengatakan serangan Juli "tampaknya terkait dengan insiden Verus Ethereum Bridge sebelumnya pada Mei 2026." Mereka juga menggambarkan kedua insiden tersebut melibatkan "kontrak bridge yang sama, jalur masuk yang sama, dan kelas bug yang sama," meskipun penyebab teknis yang dikonfirmasi untuk eksploitasi terbaru belum dirilis.
Seperti yang dilaporkan crypto.news pada Mei, penyerang bridge Verus pertama kemudian mengembalikan 4.052,4 ETH, senilai sekitar $8,5 juta pada saat itu, setelah proyek menawarkan persyaratan penyelesaian. Penyerang menyimpan 1.350 ETH sebagai hadiah (bounty). Jumlah yang dikembalikan mewakili sekitar 75% dari dana yang dipegang oleh eksploiter setelah aset yang dicuri dikonversi menjadi ETH.
Serangan Verus merupakan bagian dari serangkaian insiden keamanan yang lebih luas yang dilaporkan dalam hitungan jam. Pelacak onchain Lookonchain mengatakan AFX Trade, Verus, dan B² Network telah mengalami eksploitasi dengan kerugian gabungan yang dilaporkan sekitar $35,55 juta. Angka-angka tersebut termasuk $24,15 juta dari AFX, sekitar $7,55 juta dari Verus, dan sekitar $3,86 juta dari B² Network.
Awal hari ini, bridge yang dioperasikan AFX kehilangan $24,15 juta USDC sebelum penyerang memindahkan dana ke Ethereum dan mengonversinya menjadi 12.467 ETH. Offchain Labs mengatakan insiden itu tidak memengaruhi native bridge Arbitrum dan berasal dari infrastruktur yang dioperasikan oleh protokol pihak ketiga.
Insiden-insiden ini menambah pengawasan berkelanjutan terhadap sistem lintas-rantai. Sebuah penjelasan terbaru dari crypto.news mencatat bahwa bridge harus memverifikasi peristiwa di seluruh blockchain yang terpisah sambil mengendalikan aset yang disimpan dalam cadangan bersama. Kesalahan dalam validasi pesan, logika kontrak, atau kontrol akses dapat memungkinkan transaksi melepaskan aset tanpa transfer yang cocok dan valid.
Blockaid mengatakan eksploitasi Verus yang baru tampaknya melibatkan jenis kelemahan yang sama seperti yang terlihat pada bulan Mei, tetapi belum mengkonfirmasi bahwa kerentanan sebelumnya yang persis sama menyebabkan pengurasan Juli. Serangan Mei melibatkan kurangnya validasi antara nilai yang dikomit di rantai sumber dan jumlah yang dilepaskan di Ethereum, menurut analisis keamanan.
Transaksi terbaru mengonfirmasi bahwa dana meninggalkan bridge Verus menuju dompet penyerang baru, tetapi sumber-sumber yang ditinjau tidak mengonfirmasi apakah ada aset yang telah dibekukan, dikembalikan, atau dipulihkan sejak itu. Mereka juga tidak memberikan rencana remediasi baru atau jadwal untuk perubahan operasi bridge.
Detail teknis lebih lanjut dapat mengklarifikasi apakah celah Mei masih dapat dieksploitasi, apakah kelemahan terkait menyebabkan insiden baru, atau apakah penyerang menggunakan rute lain melalui proses impor yang sama. Pergerakan dana penyerang selanjutnya juga dapat menunjukkan apakah aset yang dicuri dikonversi atau dipindahkan melalui layanan lain.
Kasus ini tetap menjadi berita yang sedang berkembang.
