Die Verus Ethereum Bridge wurde erneut angegriffen, wobei ein Angreifer etwa 7,54 Millionen Dollar an Vermögenswerten aus demselben Vertrag abzog, der bereits im Mai getroffen wurde.
Zusammenfassung
- Die Verus Ethereum Bridge verlor etwa 7,54 Millionen Dollar bei einem neuen Angriff, der ihren Importpfad angriff.
- Blockaid sagt, der Angriff ähnelt dem vom Mai, obwohl die Grundursache noch aktiv untersucht wird.
- Drei Krypto-Angriffe, die am Donnerstag gemeldet wurden, verursachten laut Lookonchain Gesamtverluste von etwa 35,55 Millionen Dollar.
Die Blockchain-Sicherheitsfirma Blockaid entdeckte den Angriff auf Ethereum am 23. Juli und sagte, der Angreifer habe den Importpfad der Brücke genutzt, um Auszahlungen auszulösen, die nicht durch entsprechende Vermögenswerte auf der Quellseite gedeckt waren.
Der Vorfall betraf laut Blockaid eine andere Transaktion und ein anderes vom Angreifer kontrolliertes Wallet als der Einbruch im Mai. Die Firma sagte, der neue Angriff nutzte denselben Brückenvertrag, denselben Einstiegspfad und dieselbe offensichtliche Fehlerklasse. Die genaue Grundursache war jedoch zum Zeitpunkt der Veröffentlichung der Warnung noch Gegenstand der Untersuchung.
Verus-Brückenangriff zapft mehrere Vermögenswerte ab
On-Chain-Aufzeichnungen zeigen, dass die Angriffstransaktion am 23. Juli um 03:45 UTC mit dem Verus Ethereum Bridge-Vertrag interagierte. Die Transaktion transferierte etwa 1.137 ETH und mehrere Token an eine vom Angreifer kontrollierte Adresse. Zu den Vermögenswerten gehörten tBTC, USDC, USDT, EURC, MKR und scrvUSD. Etherscan bewertete die Hauptabflüsse der Brücke zu diesem Zeitpunkt auf etwa 7,54 Millionen Dollar.
Blockaid sagte, der Angreifer habe den Brückenimportprozess missbraucht, um ungedeckte Auszahlungen auf der Ethereum-Seite zu erzeugen. Die Firma identifizierte die empfangende Adresse als 0xCFd0…2D54 und verband die Abhebung mit demselben Brückenvertrag, der auch beim früheren Verus-Vorfall betroffen war. Sie hat noch keinen vollständigen technischen Bericht über die neue Transaktion veröffentlicht.
Darüber hinaus erfolgt der jüngste Angriff etwa zwei Monate, nachdem die Verus Ethereum Bridge bei einem separaten Angriff rund 11,58 Millionen Dollar verloren hatte. Sicherheitsforscher sagten, der Angreifer vom Mai habe eine Validierungslücke ausgenutzt, die es ermöglichte, einen gefälschten Cross-Chain-Import die Verifikation passieren zu lassen, obwohl der auf der Quellseite gebundene Wert nicht mit der auf Ethereum freigegebenen Auszahlung übereinstimmte.
Blockaid sagte, der Angriff im Juli „scheint mit dem früheren Verus Ethereum Bridge-Vorfall im Mai 2026 zusammenzuhängen.“ Es beschrieb die beiden Vorfälle auch als „denselben Brückenvertrag, denselben Einstiegspfad und dieselbe Fehlerklasse“, obwohl eine bestätigte technische Ursache für den jüngsten Angriff noch nicht veröffentlicht wurde.
Wie crypto.news berichtete im Mai, gab der erste Verus-Brückenangreifer später 4.052,4 ETH zurück, damals etwa 8,5 Millionen Dollar wert, nachdem das Projekt Vergleichsbedingungen angeboten hatte. Der Angreifer behielt 1.350 ETH als Kopfgeld. Der zurückgegebene Betrag entsprach etwa 75 % der vom Ausbeuter gehaltenen Gelder, nachdem die gestohlenen Vermögenswerte in ETH umgewandelt worden waren.
Drei Angriffe innerhalb weniger Stunden gemeldet
Der Verus-Angriff war Teil einer breiteren Serie von Sicherheitsvorfällen, die innerhalb weniger Stunden gemeldet wurden. Der On-Chain-Tracker Lookonchain sagte, AFX Trade, Verus und B² Network seien angegriffen worden, mit gemeldeten Gesamtverlusten von etwa 35,55 Millionen Dollar. Die Zahlen umfassten 24,15 Millionen Dollar von AFX, etwa 7,55 Millionen Dollar von Verus und rund 3,86 Millionen Dollar von B² Network.
Heute Morgen verlor eine von AFX betriebene Brücke 24,15 Millionen USDC, bevor der Angreifer die Gelder nach Ethereum transferierte und in 12.467 ETH umwandelte. Offchain Labs erklärte, der Vorfall habe die native Brücke von Arbitrum nicht beeinträchtigt und sei auf die Infrastruktur eines Drittanbieter-Protokolls zurückzuführen.
Die Vorfälle verstärken die anhaltende Prüfung von kettenübergreifenden Systemen. Ein kürzlich erschienener crypto.news-Erklärartikel wies darauf hin, dass Brücken Ereignisse über separate Blockchains hinweg verifizieren müssen, während sie die in gemeinsamen Reserven gehaltenen Vermögenswerte kontrollieren. Fehler in der Nachrichtenvalidierung, der Vertragslogik oder den Zugriffskontrollen können es einer Transaktion ermöglichen, Vermögenswerte freizugeben, ohne dass eine gültige entsprechende Übertragung stattfindet.
Grundursache und Wiederherstellungsdetails stehen noch aus
Blockaid erklärte, der neue Verus-Exploit scheine dieselbe Art von Schwachstelle zu betreffen, die bereits im Mai beobachtet wurde, bestätigte jedoch nicht, dass genau die frühere Sicherheitslücke den Abfluss im Juli verursachte. Der Angriff im Mai betraf laut Sicherheitsanalysen eine fehlende Validierung zwischen dem auf der Quellkette festgelegten Wert und dem auf Ethereum freigegebenen Betrag.
Die neueste Transaktion bestätigt, dass Gelder die Verus-Brücke in Richtung der neuen Angreifer-Wallet verlassen haben, aber die geprüften Quellen bestätigten nicht, ob seitdem Vermögenswerte eingefroren, zurückgegeben oder wiederhergestellt wurden. Sie lieferten auch keinen neuen Sanierungsplan oder einen Zeitplan für Änderungen am Brückenbetrieb.
Weitere technische Details könnten klären, ob die Mai-Schwachstelle weiterhin ausnutzbar war, ob eine verwandte Schwachstelle den neuen Vorfall verursachte oder ob der Angreifer einen anderen Weg durch denselben Importprozess nutzte. Die nächsten Geldbewegungen des Angreifers könnten auch zeigen, ob die gestohlenen Vermögenswerte umgewandelt oder über andere Dienste verschoben werden.
Der Fall bleibt eine sich entwickelnde Geschichte.
