cryptopolitan.com
Am Donnerstag gelang es einem Angreifer, rund 7,54 Millionen US-Dollar von der Verus Ethereum . Dies ist bereits der zweite erfolgreiche Exploit dieser Bridge innerhalb von etwa zwei Monaten. Offenbar wurde die Anfang des Jahres entdeckte Sicherheitslücke nie vollständig behoben. Dies verdeutlicht, wie bekannte Schwachstellen weiterhin Cross-Chain-Systeme gefährden. -Bridge zu stehlen
Cross-Chain-Bridges ermöglichen es Nutzern, Vermögenswerte auf einer Blockchain zu sperren und im Gegenzug äquivalente Token auf einer anderen Blockchain auszugeben. Die meisten Bridges verfügen jedoch über extrem große, gemeinsam genutzte Liquiditätspools. Daher kann bereits ein kleiner Fehler der Validatoren Verluste in Millionenhöhe verursachen. Laut dem Blockchain-Sicherheitsunternehmen Blockaid scheint genau dies beim Verus-Angriff der Fall gewesen zu sein; derselbe Fehlertyp war für einige der größten Krypto-Bridge-Hacks seit 2022 verantwortlich.
Ein erneuter Treffer beim selbentrac
Laut Blockaid nutzte der Angreifer den Mechanismus für Bridge-Importe aus, um Ethereum-bezogene Auszahlungen , die nicht den tatsächlichen Werten auf der Verus-Blockchain entsprachen. Der Hacker konnte Vermögenswerte wie ETH, tBTC, USDC, USDT, EURC, MKR und scrvUSD stehlen, wodurch ein Gesamtschaden von rund 7,54 Millionen US-Dollar entstand.
Der Angriff konzentrierte sich auf den Verus Ethereum Bridge-Protokoll-Vertragtrac0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63 , während das Geld traczur Wallet des Hackers unter 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54 zurückverfolgt
Die Blockchain-Beweise sind auf Etherscan leicht zugänglich . Dazu gehören der Bridge-Vertragtracdie Wallet des Angreifers sowie die Exploit-Transaktion.
Derdent ist besonders interessant, da er einem anderen Vorfalldent Mai 2026, dem Verus-Bridge-Hack, bei dem 11,58 Millionen US-Dollar erbeutet wurden, sehr ähnlich ist. Blockaid gab an, dass beide Angriffe denselben VertragtracImportweg , was bedeutet, dass die Sicherheitslücke noch nicht behoben ist.
Warum der Bug Millionen mit Centbeträgen ausschüttet
Die Sicherheitsunternehmen Halborn und Merkle Science kamen nach der Analyse des vorangegangenen Angriffs ebenfalls zu demselben Schluss.
„Die Schwachstelle war kein kryptografischer Fehler, sondern eine fehlende Validierung, die sicherstellte, dass der auf der Verus-Blockchain gespeicherte Wert mit dem auf Ethereum.“ – Rob Behnke, Halborn
Laut Halborn würde selbst eine Transaktion im Wert von nur etwa 1 Cent alle Signatur- und Merkle-Proof-Anforderungen der Bridge erfüllen, bevor der Ethereum Smarttracausgelöst wird, um diese Transaktion auszuführen und die Vermögenswerte im Wert von Millionen von Dollar freizugeben.
Laut Merkle Science wurde die Ursache des Problems in der Funktion checkCCEValues im Code der Brücke ermittelt.
„Die Brücke konnte nicht überprüfen, ob der Quellbetrag mit der Zielauszahlung übereinstimmte, wodurch ein Angreifer mit minimalen Gebühren Millionen abheben konnte.“ – Mir Jalal, Merkle Science
Das Unternehmen ging davon aus, dass das Problem auf etwa 10 fehlende Solidity-Validierungszeilen zurückzuführen war, wodurch der Angreifer VRSC-Transaktionsgebühren im Wert von etwa 10 US-Dollar in eine Auszahlung von 11,58 Millionen US-Dollar umwandeln konnte.
Die beiden Unternehmen stellten klar, dass die Kryptografie und der Validierungsnachweis der Bridge ordnungsgemäß funktionierten. Das eigentliche Problem bestand jedoch darin, dass dertracnicht überprüfte, ob der auf Ethereum freigegebene Wert durch die Assets auf der Verus-Chain gedeckt war. Merkle Science wies darauf hin, dass derselbe Validierungsfehler auch für die Sicherheitslücken der Wormhole- und Nomad-Bridge im Jahr 2022 verantwortlich war.
Was das für einen Markt bedeutet, der Brücken für sicherer hielt
Der Verus-dent ereignet sich zu einer Zeit, in der andere Bereiche der Kryptowährungsgemeinschaft weniger Verluste durch Bridge-Angriffe verzeichnen.
Laut Daten von TRM Labsgab es insgesamt 207 Cyberangriffe auf Kryptowährungen – der höchste Wert, der jemals in einem Sechsmonatszeitraum verzeichnet wurde. Im Gegensatz dazu sanken die Gesamtschäden im gleichen Zeitraum bis 2025 von 2,3 Milliarden US-Dollar auf 972 Millionen US-Dollar, und der durchschnittliche Schaden pro Hack ging in der Gegenwart auf rund 219.000 US-Dollar zurück.
Die Sicherheit von Bridges wurde in den letzten Jahren ebenfalls verbessert. Wie ein Bericht von Immunefi, lag der Anteil der DeFi Verluste durch Bridge-Hacking im Jahr 2022 bei 73 %, sank aber bis 2025 auf nur noch 3 %. Dies deutet auf eine signifikante Verbesserung der Qualität von Audits und Bridge-Designs am Markt hin.
Dennoch zeigt der Sicherheitsvorfall bei Verus, dass Fortschritte in der Branche insgesamt bestehende, ungelöste Schwachstellen nicht ausgleichen können. Ein Problem, das erstmals nach dem Exploit im Mai aufgedeckt wurde, scheint erneut ausgenutzt worden zu sein, was die Annahme bestärkt, dass die Behebung bekannter Schwachstellen weitaus wichtiger ist, als davon auszugehen, dass sie nicht mehr gefährdet sind.
Verus hat noch keinen offiziellen Untersuchungsbericht zum Vorfall vom Donnerstag veröffentlicht. Nach demdentim Mai wies Merkle Science die Nutzer an, die Bridge nicht zu verwendendentbis die fehlerhafte Validierung behoben und von einem unabhängigen Prüfer freigegeben wurde. Nutzer sollten Vorsicht walten lassen und von Bridge-Transfers absehen, bis das Projekt die Fertigstellung dieser Arbeiten bestätigen kann.