Die Verus Ethereum Bridge wurde erneut ausgenutzt, wobei ein Angreifer im Mai etwa 7,54 Millionen US-Dollar an Vermögenswerten aus dem gleichen Vertrag abzog.
Zusammenfassung
- Verus Ethereum Bridge verlor etwa 7,54 Millionen US-Dollar durch einen neuen Exploit, der auf seinen Importpfad abzielte.
- Laut Blockaid ähnelt der Angriff dem Exploit von May, obwohl die eigentliche Ursache noch aktiv untersucht wird.
- Laut Lookonchain verursachten drei am Donnerstag gemeldete Krypto-Exploits zusammen Verluste von rund 35,55 Millionen US-Dollar.
Blockchain-Sicherheitsunternehmen Blockaid erkannt den Angriff auf Ethereum am 23. Juli und sagte, der Angreifer habe den Importpfad der Brücke genutzt, um Auszahlungen auszulösen, die nicht durch entsprechende Vermögenswerte auf der Quellenseite abgesichert seien.
Laut Blockaid handelte es sich bei dem Vorfall um eine andere Transaktion und ein vom Angreifer kontrolliertes Wallet als bei der Sicherheitsverletzung im Mai. Das Unternehmen sagte, dass der neue Angriff denselben Bridge-Vertrag, denselben Eintrittspfad und dieselbe offensichtliche Fehlerklasse verwendet habe. Die genaue Grundursache wurde jedoch zum Zeitpunkt der Veröffentlichung der Warnung noch untersucht.
Der Verus-Bridge-Exploit raubt mehrere Vermögenswerte
Onchain-Aufzeichnungen zeigen, dass die Exploit-Transaktion am 23. Juli um 03:45 UTC mit dem Verus Ethereum Bridge-Vertrag interagierte. Die Transaktion übertrug etwa 1.137 ETH und mehrere Token an eine vom Angreifer kontrollierte Adresse. Zu den Vermögenswerten gehörten tBTC, USDC, USDT, EURC, MKR und scrvUSD. Etherscan schätzte die Hauptabflüsse der Brücke damals auf etwa 7,54 Millionen US-Dollar.
Blockaid sagte, der Angreifer habe den Bridge-Importprozess missbraucht, um unbesicherte Auszahlungen auf Ethereum-Seite zu bewirken. Das Unternehmen identifizierte die Empfangsadresse als 0xCFd0…2D54 und verknüpfte die Auszahlung mit demselben Überbrückungsvertrag, der auch bei dem früheren Verus-Vorfall beteiligt war. Es wurde noch kein vollständiger technischer Bericht zu der neuen Transaktion veröffentlicht.
Darüber hinaus erfolgte der neueste Exploit etwa zwei Monate, nachdem die Verus Ethereum Bridge bei einem separaten Angriff etwa 11,58 Millionen US-Dollar verloren hatte. Sicherheitsforscher sagten, der May-Angreifer habe eine Validierungslücke ausgenutzt, die es einem gefälschten Cross-Chain-Import ermöglichte, die Überprüfung zu bestehen, obwohl der auf der Quellseite zugesagte Wert nicht mit der auf Ethereum veröffentlichten Auszahlung übereinstimmte.
Blockaid sagte, der Angriff vom Juli „scheint im Zusammenhang mit dem vorherigen Vorfall auf der Verus Ethereum Bridge im Mai 2026 zu stehen.“ Außerdem wurde beschrieben, dass es sich bei den beiden Vorfällen um „denselben Bridge-Vertrag, denselben Eintrittspfad und dieselbe Fehlerklasse“ handelte, obwohl eine bestätigte technische Ursache für den neuesten Exploit nicht veröffentlicht wurde.
Als crypto.news gemeldet Im Mai gab der erste Verus-Bridge-Angreifer später 4.052,4 ETH zurück, damals im Wert von etwa 8,5 Millionen US-Dollar, nachdem das Projekt Vergleichsbedingungen angeboten hatte. Der Angreifer behielt 1.350 ETH als Kopfgeld. Der zurückgegebene Betrag entsprach etwa 75 % der vom Ausbeuter gehaltenen Gelder, nachdem die gestohlenen Vermögenswerte in ETH umgewandelt worden waren.
Innerhalb weniger Stunden wurden drei Exploits gemeldet
Der Verus-Angriff war Teil einer größeren Reihe von Sicherheitsvorfällen, die innerhalb weniger Stunden gemeldet wurden. Der Onchain-Tracker Lookonchain sagte, dass AFX Trade, Verus und B² Network Exploits erlitten hätten und zusammen Verluste in Höhe von etwa 35,55 Millionen US-Dollar gemeldet hätten. In den Zahlen waren 24,15 Millionen US-Dollar von AFX, etwa 7,55 Millionen US-Dollar von Verus und etwa 3,86 Millionen US-Dollar von B² Network enthalten.
Heute früh eine von AFX betriebene Brücke verlor 24,15 Millionen US-Dollar in USDC bevor der Angreifer die Gelder an Ethereum überwies und sie in 12.467 ETH umwandelte. Offchain Labs sagte, dass der Vorfall keine Auswirkungen auf die native Bridge von Arbitrum hatte und von einer Infrastruktur ausging, die von einem Protokoll eines Drittanbieters betrieben wurde.
Die Vorfälle tragen zur fortlaufenden Überprüfung kettenübergreifender Systeme bei. Ein aktueller crypto.news-Erklärer stellte fest, dass Brücken Ereignisse über separate Blockchains hinweg überprüfen und gleichzeitig Vermögenswerte kontrollieren müssen, die in gemeinsamen Reserven gehalten werden. Fehler in der Nachrichtenvalidierung, Vertragslogik oder Zugriffskontrollen können dazu führen, dass eine Transaktion Vermögenswerte ohne gültige entsprechende Übertragung freigibt.
Einzelheiten zur Ursache und Wiederherstellung stehen noch aus
Blockaid sagte, der neue Verus-Exploit scheine die gleiche Art von Schwachstelle wie im Mai zu beinhalten, konnte jedoch nicht bestätigen, dass genau die frühere Schwachstelle den Abfluss im Juli verursacht hat. Bei dem Angriff im Mai fehlte laut Sicherheitsanalysen die Validierung zwischen dem in der Quellkette bereitgestellten Wert und dem auf Ethereum freigegebenen Betrag.
Die jüngste Transaktion bestätigt, dass Gelder die Verus-Brücke für die neue Angreifer-Wallet verlassen haben, die überprüften Quellen bestätigten jedoch nicht, ob seitdem Vermögenswerte eingefroren, zurückgegeben oder wiederhergestellt wurden. Sie legten auch keinen neuen Sanierungsplan oder einen Zeitplan für Änderungen am Brückenbetrieb vor.
Weitere technische Details könnten klären, ob die Schwachstelle vom Mai weiterhin ausnutzbar war, ob eine damit verbundene Schwachstelle den neuen Vorfall verursachte oder ob der Angreifer einen anderen Weg über denselben Importprozess nutzte. Die nächsten Geldbewegungen des Angreifers könnten auch zeigen, ob die gestohlenen Vermögenswerte umgewandelt oder über andere Dienste verschoben werden.
Der Fall bleibt eine sich entwickelnde Geschichte.
