Le pont Verus Ethereum à nouveau ciblé avec 7,54 M$ volés via le même point d'entrée

Le pont Verus Ethereum a de nouveau été exploité le 23 juillet, les attaquants ayant vidé environ 7,54 millions de dollars du même contrat de pont touché en mai. Ce qui s’est passé - La société de sécurité blockchain Blockaid a signalé l’attaque sur Ethereum à 03:45 UTC le 23 juillet. Les enregistrements onchain montrent une transaction interagissant avec le contrat du pont Verus, transférant environ 1 137 ETH ainsi que plusieurs tokens (tBTC, USDC, USDT, EURC, MKR et scrvUSD) vers une adresse contrôlée par l’attaquant. Etherscan a évalué les sorties à environ 7,54 millions de dollars à ce moment-là. - Contrat de pont ciblé : 0x71518580f36feceffe0721f06ba4703218cd7f63 - Wallet de l’attaquant ayant reçu les fonds : 0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54 (abrégé : 0xCFd0…2D54) - Transaction d’exploitation (signalée) : https://t.co/XPN25gbZp4 Comment l’attaquant a opéré Blockaid affirme que l’attaquant a abusé du chemin d’importation du pont pour déclencher des paiements côté Ethereum non soutenus par des actifs correspondants sur la chaîne source. Bien que le retrait de juillet implique une transaction et un wallet contrôlé par l’attaquant différents de ceux de l’incident de mai, Blockaid a décrit les deux incidents comme impliquant « le même contrat de pont, le même chemin d’accès et la même classe de bug ». Un rapport technique complet sur l’attaque de juillet n’avait pas encore été publié au moment de l’alerte, et la cause racine exacte faisait toujours l’objet d’une enquête. Contexte et incident antérieur Il s’agit du deuxième grand incident affectant le pont Verus ces derniers mois. En mai, le pont Verus Ethereum avait perdu environ 11,58 millions de dollars après qu’un écart de validation aurait permis à une importation falsifiée entre chaînes de passer la vérification, libérant ainsi plus de fonds sur Ethereum qu’il n’en avait été engagés sur la chaîne source. Après cet exploit, l’attaquant avait restitué 4 052,4 ETH (environ 8,5 millions de dollars à l’époque) dans le cadre d’un accord de règlement, en conservant 1 350 ETH comme récompense — soit environ 75 % de ses holdings en ETH après conversion. Contexte plus large L’exploitation de juillet sur Verus fait partie de plusieurs incidents liés aux ponts signalés dans les heures qui ont suivi. Le même jour, AFX Trade a subi une perte estimée à 24,15 millions de dollars et B² Network environ 3,86 millions de dollars, ce qui porte les pertes totales déclarées à environ 35,55 millions de dollars sur les trois événements, selon le traceur onchain Lookonchain. L’incident AFX a impliqué du USDC prélevé sur une infrastructure gérée par un protocole tiers, ultérieurement converti en ETH. Pourquoi cela compte Les ponts interchaînes doivent valider les événements et les valeurs entre des blockchains distinctes tout en contrôlant des réserves partagées. Des erreurs dans la validation des messages, la logique des contrats ou les contrôles d’accès peuvent permettre un paiement on-chain sans dépôt correspondant sur la chaîne source. Blockaid affirme que l’exploitation de juillet « semble liée à l’incident précédent du pont Verus Ethereum de mai 2026 », mais n’a pas confirmé si la même vulnérabilité a été réutilisée ou si un nouveau chemin à travers le processus d’importation a été exploité. Ce qui suit Au moment du rapport, des sources ont confirmé que les fonds avaient quitté le pont Verus pour le nouveau wallet de l’attaquant, mais n’ont pas indiqué si des actifs avaient été gelés, restitués ou récupérés, ni fourni un calendrier de correction. Une analyse technique supplémentaire sera nécessaire pour déterminer si la faille de mai restait exploitable ou si une vulnérabilité distincte a été utilisée cette fois-ci — et pour suivre si les fonds volés sont convertis ou blanchis via d’autres services. Ceci est une histoire en évolution ; nous mettrons à jour cette information dès que Blockaid ou Verus publieront davantage de détails techniques ou des actions de récupération.