A Verus Ethereum Bridge sofreu outro exploit, com um invasor drenando cerca de US$ 7,54 milhões em ativos do mesmo contrato atingido em maio.
A empresa de segurança blockchain Blockaid detectou o ataque no Ethereum em 23 de julho e disse que o invasor usou o caminho de importação da ponte para acionar pagamentos que não eram suportados por ativos correspondentes no lado de origem.
O incidente envolveu uma transação e carteira controlada pelo invasor diferentes da violação de maio, de acordo com a Blockaid. A empresa disse que o novo ataque usou o mesmo contrato de ponte, caminho de entrada e aparente classe de bug. No entanto, a causa raiz exata permanecia sob investigação quando o alerta foi publicado.
Registros on-chain mostram que a transação do exploit interagiu com o contrato da Verus Ethereum Bridge às 03:45 UTC de 23 de julho. A transação transferiu cerca de 1.137 ETH e vários tokens para um endereço controlado pelo invasor. Os ativos incluíram tBTC, USDC, USDT, EURC, MKR e scrvUSD. O Etherscan avaliou as principais saídas da ponte em aproximadamente US$ 7,54 milhões na época.
A Blockaid disse que o invasor abusou do processo de importação da ponte para produzir pagamentos não suportados do lado do Ethereum. A empresa identificou o endereço de recebimento como 0xCFd0…2D54 e vinculou a retirada ao mesmo contrato de ponte envolvido no incidente anterior da Verus. Ainda não publicou um relatório técnico completo sobre a nova transação.
Além disso, o exploit mais recente ocorre cerca de dois meses depois que a Verus Ethereum Bridge perdeu aproximadamente US$ 11,58 milhões em um ataque separado. Pesquisadores de segurança disseram que o invasor de maio explorou uma lacuna de validação que permitiu que uma importação cross-chain forjada passasse na verificação, embora o valor comprometido no lado de origem não correspondesse ao pagamento liberado no Ethereum.
A Blockaid disse que o ataque de julho “parece relacionado ao incidente anterior da Verus Ethereum Bridge em maio de 2026”. Também descreveu os dois incidentes como envolvendo o “mesmo contrato de ponte, mesmo caminho de entrada e mesma classe de bug”, embora uma causa técnica confirmada para o exploit mais recente não tenha sido divulgada.
Conforme noticiado pela crypto.news em maio, o primeiro invasor da ponte Verus mais tarde devolveu 4.052,4 ETH, avaliados em cerca de US$ 8,5 milhões na época, depois que o projeto ofereceu termos de acordo. O invasor manteve 1.350 ETH como recompensa. O valor devolvido representou cerca de 75% dos fundos detidos pelo explorador depois que os ativos roubados foram convertidos em ETH.
O ataque à Verus fez parte de uma série mais ampla de incidentes de segurança reportados em questão de horas. O rastreador on-chain Lookonchain disse que AFX Trade, Verus e B² Network sofreram exploits com perdas combinadas reportadas de cerca de US$ 35,55 milhões. Os números incluíram US$ 24,15 milhões da AFX, cerca de US$ 7,55 milhões da Verus e aproximadamente US$ 3,86 milhões da B² Network.
No início do dia, uma ponte operada pela AFX perdeu US$ 24,15 milhões em USDC antes que o invasor movesse os fundos para o Ethereum e os convertesse em 12.467 ETH. A Offchain Labs disse que esse incidente não afetou a ponte nativa da Arbitrum e teve origem em infraestrutura operada por um protocolo de terceiros.
Os incidentes somam-se ao escrutínio contínuo dos sistemas cross-chain. Um recente explicativo da crypto.news observou que as pontes devem verificar eventos em blockchains separadas enquanto controlam ativos mantidos em reservas compartilhadas. Erros na validação de mensagens, lógica de contrato ou controles de acesso podem permitir que uma transação libere ativos sem uma transferência correspondente válida.
A Blockaid disse que o novo exploit da Verus parece envolver o mesmo tipo de fraqueza visto em maio, mas não chegou a confirmar que a vulnerabilidade anterior exata causou o dreno de julho. O ataque de maio envolveu validação ausente entre o valor comprometido na cadeia de origem e o valor liberado no Ethereum, de acordo com análises de segurança.
A transação mais recente confirma que os fundos deixaram a ponte Verus para a nova carteira do invasor, mas as fontes revisadas não confirmaram se quaisquer ativos foram congelados, devolvidos ou recuperados desde então. Também não forneceram um novo plano de remediação ou um cronograma para as mudanças nas operações da ponte.
Detalhes técnicos adicionais poderiam esclarecer se a falha de maio permaneceu explorável, se uma fraqueza relacionada causou o novo incidente, ou se o invasor usou outra rota através do mesmo processo de importação. Os próximos movimentos de fundos do invasor também poderiam mostrar se os ativos roubados são convertidos ou movidos através de outros serviços.
O caso continua sendo uma história em desenvolvimento.
ETH
USDC