Мост Verus Ethereum снова атакован: по тому же пути похищено $7,54 млн

Мост Verus Ethereum снова был скомпрометирован 23 июля, когда злоумышленники вывели примерно 7,54 млн долларов из того же контракта моста, который был атакован в мае. Что произошло: - Компания по безопасности блокчейна Blockaid зафиксировала атаку на Ethereum в 03:45 UTC 23 июля. Ончейн-записи показывают транзакцию, взаимодействовавшую с контрактом моста Verus, которая перевела около 1 137 ETH и несколько токенов (tBTC, USDC, USDT, EURC, MKR и scrvUSD) на адрес, контролируемый злоумышленником. Etherscan оценил объем вывода средств примерно в 7,54 млн долларов на момент инцидента. - Целевой контракт моста: 0x71518580f36feceffe0721f06ba4703218cd7f63 - Кошелек злоумышленника, получивший средства: 0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54 (сокращенно: 0xCFd0…2D54) - Транзакция эксплуатации (сообщена): https://t.co/XPN25gbZp4 Как действовал злоумышленник: Blockaid утверждает, что злоумышленник воспользовался путем импорта моста, чтобы вызвать выплаты на стороне Ethereum, не подкрепленные соответствующими активами на исходной цепочке. Хотя вывод средств в июле включал другую транзакцию и кошелек, контролируемый злоумышленником, по сравнению с инцидентом в мае, Blockaid описала оба инцидента как использующие «один и тот же контракт моста, один и тот же входной путь и один и тот же класс уязвимости». Полный технический отчет об атаке в июле на момент оповещения не был опубликован, а точная причина все еще находилась под расследованием. Фон и предыдущий инцидент: Это второй крупный инцидент с мостом Verus за последние месяцы. В мае мост Verus Ethereum потерял примерно 11,58 млн долларов после того, как пробел в валидации, предположительно, позволил поддельный кросс-чейн-импорт пройти проверку, выпустив на Ethereum больше средств, чем было зафиксировано на исходной цепочке. После этой атаки злоумышленник вернул 4 052,4 ETH (около 8,5 млн долларов на тот момент) по условиям соглашения, оставив себе 1 350 ETH в качестве награды — примерно 75% его ETH-холдингов после конвертации. Более широкий контекст: Атака на Verus в июле была одной из нескольких инцидентов, связанных с мостами, зафиксированных в течение нескольких часов. В тот же день AFX Trade понесла убытки примерно в 24,15 млн долларов, а B² Network — около 3,86 млн долларов, что в совокупности дало около 35,55 млн долларов убытков по трем инцидентам, согласно ончейн-трекеру Lookonchain. Инцидент с AFX включал вывод USDC из инфраструктуры, управляемой сторонним протоколом, который затем был конвертирован в ETH. Почему это важно: Кросс-чейн мосты должны проверять события и значения между отдельными блокчейнами при управлении общими резервами. Ошибки в валидации сообщений, логике контрактов или контроле доступа могут позволить выплате на цепочке без соответствующего депозита на исходной цепочке. Blockaid говорит, что июльская эксплуатация «кажется связанной с предыдущим инцидентом с мостом Verus Ethereum в мае 2026 года», но не подтвердила, использовалась ли та же уязвимость или была эксплуатирована новая точка входа через процесс импорта. Что дальше: На момент публикации источники подтвердили, что средства покинули мост Verus и поступили на новый кошелек злоумышленника, но не указали, были ли какие-либо активы заморожены, возвращены или восстановлены, а также не предоставили сроки устранения уязвимости. Необходимы дополнительные технические анализы для определения, оставалась ли уязвимость мая доступной для эксплуатации или была использована другая слабость — и для отслеживания того, конвертируются ли или отмываются похищенные средства через другие сервисы. Это развивающаяся история; мы обновим информацию по мере публикации дополнительных технических деталей или мер по восстановлению от Blockaid или Verus.