Verus Ethereum Bridge đã phải chịu một cuộc tấn công khai thác khác, với việc kẻ tấn công đã rút khoảng 7,54 triệu đô la tài sản từ cùng một hợp đồng đã bị tấn công vào tháng 5.
Công ty bảo mật blockchain Blockaid đã phát hiện cuộc tấn công trên Ethereum vào ngày 23 tháng 7 và cho biết kẻ tấn công đã sử dụng đường dẫn nhập của cầu nối để kích hoạt các khoản thanh toán không được hỗ trợ bởi các tài sản tương ứng ở phía nguồn.
Theo Blockaid, sự cố này liên quan đến một giao dịch và ví do kẻ tấn công kiểm soát khác so với vụ tấn công hồi tháng 5. Công ty cho biết cuộc tấn công mới đã sử dụng cùng một hợp đồng cầu nối, đường dẫn truy cập và loại lỗi rõ ràng. Tuy nhiên, nguyên nhân gốc rễ chính xác vẫn đang được điều tra khi cảnh báo được công bố.
Các hồ sơ trên chuỗi cho thấy giao dịch khai thác đã tương tác với hợp đồng Verus Ethereum Bridge vào lúc 03:45 UTC ngày 23 tháng 7. Giao dịch này đã chuyển khoảng 1.137 ETH và một số token sang một địa chỉ do kẻ tấn công kiểm soát. Các tài sản bao gồm tBTC, USDC, USDT, EURC, MKR và scrvUSD. Etherscan định giá các khoản chảy ra chính của cầu nối vào khoảng 7,54 triệu đô la vào thời điểm đó.
Blockaid cho biết kẻ tấn công đã lạm dụng quy trình nhập của cầu nối để tạo ra các khoản thanh toán phía Ethereum không có tài sản đảm bảo. Công ty đã xác định địa chỉ nhận là 0xCFd0…2D54 và liên kết việc rút tiền này với cùng một hợp đồng cầu nối liên quan đến sự cố Verus trước đó. Công ty vẫn chưa công bố báo cáo kỹ thuật đầy đủ về giao dịch mới này.
Ngoài ra, vụ khai thác mới nhất xảy ra khoảng hai tháng sau khi Verus Ethereum Bridge mất khoảng 11,58 triệu đô la trong một cuộc tấn công riêng biệt. Các nhà nghiên cứu bảo mật cho biết kẻ tấn công hồi tháng 5 đã khai thác một lỗ hổng xác thực cho phép một giao dịch nhập chuỗi chéo giả mạo vượt qua quá trình xác minh mặc dù giá trị đã cam kết ở phía nguồn không khớp với khoản thanh toán được phát hành trên Ethereum.
Blockaid cho biết cuộc tấn công tháng 7 “có vẻ liên quan đến sự cố Verus Ethereum Bridge trước đó vào tháng 5 năm 2026.” Công ty cũng mô tả hai sự cố này liên quan đến “cùng một hợp đồng cầu nối, cùng một đường dẫn truy cập và cùng một loại lỗi,” mặc dù nguyên nhân kỹ thuật đã được xác nhận cho vụ khai thác mới nhất vẫn chưa được công bố.
Như crypto.news đã đưa tin vào tháng 5, kẻ tấn công cầu nối Verus đầu tiên sau đó đã trả lại 4.052,4 ETH, trị giá khoảng 8,5 triệu đô la vào thời điểm đó, sau khi dự án đưa ra các điều khoản dàn xếp. Kẻ tấn công đã giữ lại 1.350 ETH làm tiền thưởng. Số tiền được trả lại chiếm khoảng 75% số tiền do kẻ khai thác nắm giữ sau khi các tài sản bị đánh cắp đã được chuyển đổi thành ETH.
Cuộc tấn công Verus là một phần của chuỗi rộng hơn các sự cố bảo mật được báo cáo trong vòng vài giờ. Trình theo dõi trên chuỗi Lookonchain cho biết AFX Trade, Verus và B² Network đã phải chịu các cuộc tấn công khai thác với tổng thiệt hại được báo cáo khoảng 35,55 triệu đô la. Các con số này bao gồm 24,15 triệu đô la từ AFX, khoảng 7,55 triệu đô la từ Verus và khoảng 3,86 triệu đô la từ B² Network.
Trước đó cùng ngày, một cầu nối do AFX vận hành đã mất 24,15 triệu đô la USDC trước khi kẻ tấn công chuyển số tiền này sang Ethereum và chuyển đổi chúng thành 12.467 ETH. Offchain Labs cho biết sự cố đó không ảnh hưởng đến cầu nối gốc của Arbitrum và bắt nguồn từ cơ sở hạ tầng được vận hành bởi một giao thức bên thứ ba.
Các sự cố này làm tăng thêm sự giám sát liên tục đối với các hệ thống chuỗi chéo. Một bài giải thích gần đây của crypto.news đã lưu ý rằng các cầu nối phải xác minh các sự kiện trên các blockchain riêng biệt trong khi kiểm soát các tài sản được giữ trong các quỹ dự trữ chung. Các lỗi trong xác thực tin nhắn, logic hợp đồng hoặc kiểm soát truy cập có thể cho phép một giao dịch giải phóng tài sản mà không có một chuyển khoản hợp lệ tương ứng.
Blockaid cho biết vụ khai thác Verus mới dường như liên quan đến cùng loại điểm yếu đã thấy vào tháng 5, nhưng không xác nhận rằng chính lỗ hổng trước đó đã gây ra vụ rút tiền tháng 7. Cuộc tấn công tháng 5 liên quan đến việc thiếu xác thực giữa giá trị đã cam kết trên chuỗi nguồn và số tiền được phát hành trên Ethereum, theo các phân tích bảo mật.
Giao dịch mới nhất xác nhận rằng tiền đã rời khỏi cầu nối Verus đến ví của kẻ tấn công mới, nhưng các nguồn được xem xét không xác nhận liệu có bất kỳ tài sản nào đã bị đóng băng, trả lại hoặc thu hồi hay không. Họ cũng không cung cấp kế hoạch khắc phục mới hoặc thời gian biểu cho các thay đổi trong hoạt động cầu nối.
Các chi tiết kỹ thuật bổ sung có thể làm rõ liệu lỗ hổng tháng 5 có còn bị khai thác hay không, liệu một điểm yếu liên quan đã gây ra sự cố mới hay liệu kẻ tấn công đã sử dụng một lộ trình khác thông qua cùng một quy trình nhập. Các động thái chuyển tiền tiếp theo của kẻ tấn công cũng có thể cho thấy liệu các tài sản bị đánh cắp có được chuyển đổi hoặc di chuyển qua các dịch vụ khác hay không.
Vụ việc vẫn đang tiếp diễn.
