Міст Verus Ethereum знову зазнав експлойту: зловмисник вивів близько $7.54 мільйона активів з того ж контракту, що й у травні.
Блокчейн-безпекова фірма Blockaid виявила атаку на Ethereum 23 липня і повідомила, що зловмисник використав шлях імпорту моста для ініціювання виплат, які не були підкріплені відповідними активами на стороні джерела.
За даними Blockaid, інцидент включав іншу транзакцію та гаманець, контрольований зловмисником, ніж травневе порушення. Фірма заявила, що нова атака використовувала той самий контракт моста, шлях входу та очевидний клас помилок. Однак точна першопричина залишалася під розслідуванням на момент публікації попередження.
Записи в блокчейні показують, що транзакція експлойту взаємодіяла з контрактом Verus Ethereum Bridge о 03:45 UTC 23 липня. Транзакція переказала близько 1 137 ETH та кілька токенів на адресу, контрольовану зловмисником. Серед активів були tBTC, USDC, USDT, EURC, MKR та scrvUSD. Etherscan оцінив основні відтоки з моста приблизно в $7.54 мільйона на той час.
Blockaid заявила, що зловмисник зловживав процесом імпорту моста для створення непідкріплених виплат на стороні Ethereum. Фірма ідентифікувала адресу отримувача як 0xCFd0…2D54 і пов'язала виведення коштів з тим самим контрактом моста, що брав участь у попередньому інциденті Verus. Повний технічний звіт щодо нової транзакції ще не опубліковано.
Крім того, останній експлойт стався приблизно через два місяці після того, як міст Verus Ethereum втратив близько $11.58 мільйона внаслідок окремої атаки. Дослідники безпеки заявили, що травневий зловмисник використав прогалину у валідації, яка дозволила підробленій крос-ланцюговій імпортній операції пройти перевірку, хоча вартість, зафіксована на стороні джерела, не відповідала виплаті, випущеній на Ethereum.
Blockaid заявила, що липнева атака «схожа на попередній інцидент з Verus Ethereum Bridge у травні 2026 року». Вона також описала обидва інциденти як такі, що включають «той самий контракт моста, той самий шлях входу та той самий клас помилок», хоча підтверджена технічна причина останнього експлойту ще не була оприлюднена.
Як повідомляв crypto.news у травні, перший зловмисник моста Verus пізніше повернув 4 052.4 ETH, вартістю близько $8.5 мільйона на той час, після того, як проект запропонував умови врегулювання. Зловмисник залишив собі 1 350 ETH як винагороду. Повернута сума становила близько 75% коштів, що перебували у володінні експлойтера після конвертації викрадених активів в ETH.
Атака на Verus стала частиною ширшої серії інцидентів безпеки, про які повідомили протягом годин. Ончейн-трекер Lookonchain заявив, що AFX Trade, Verus та B² Network зазнали експлойтів із загальними заявленими втратами близько $35.55 мільйона. Ці цифри включали $24.15 мільйона від AFX, близько $7.55 мільйона від Verus та приблизно $3.86 мільйона від B² Network.
Раніше сьогодні міст, керований AFX, втратив $24.15 мільйона в USDC, перш ніж зловмисник перемістив кошти в Ethereum і конвертував їх у 12 467 ETH. Offchain Labs заявила, що цей інцидент не вплинув на нативний міст Arbitrum і походив з інфраструктури, що керується стороннім протоколом.
Ці інциденти посилюють постійну перевірку крос-ланцюгових систем. Недавній пояснювальний матеріал crypto.news зазначив, що мости повинні перевіряти події в окремих блокчейнах, контролюючи активи, що зберігаються у спільних резервах. Помилки у валідації повідомлень, логіці контракту або контролі доступу можуть дозволити транзакції випустити активи без дійсного відповідного переказу.
Blockaid заявила, що новий експлойт Verus, схоже, пов'язаний з тим самим типом вразливості, що спостерігався в травні, але не підтвердила, що саме попередня вразливість спричинила липневий відтік коштів. Травнева атака включала відсутність валідації між значенням, зафіксованим у вихідному ланцюзі, та сумою, випущеною на Ethereum, згідно з аналізами безпеки.
Остання транзакція підтверджує, що кошти покинули міст Verus на новий гаманець зловмисника, але перевірені джерела не підтвердили, чи були якісь активи заморожені, повернуті або відновлені з того часу. Вони також не надали нового плану виправлення ситуації або графіку змін в роботі моста.
Подальші технічні деталі могли б прояснити, чи залишався травневий недолік вразливим, чи пов'язана з ним слабкість спричинила новий інцидент, або чи використовував зловмисник інший шлях через той самий процес імпорту. Наступні переміщення коштів зловмисника також можуть показати, чи конвертуються викрадені активи або переміщуються через інші сервіси.
Справа залишається історією, що розвивається.
ETH
USDC
