Cầu Verus Ethereum lại bị tấn công, bị rút mất 7,54 triệu USD qua cùng một lối vào

Cầu Verus Ethereum lại bị khai thác vào ngày 23 tháng 7, với kẻ tấn công rút khoảng 7,54 triệu USD từ cùng hợp đồng cầu đã bị tấn công vào tháng Năm. Điều gì đã xảy ra - Công ty bảo mật blockchain Blockaid cảnh báo vụ tấn công trên Ethereum lúc 03:45 UTC ngày 23 tháng 7. Các bản ghi trên blockchain cho thấy một giao dịch tương tác với hợp đồng cầu Verus đã chuyển khoảng 1.137 ETH cùng nhiều token (tBTC, USDC, USDT, EURC, MKR và scrvUSD) đến một địa chỉ do kẻ tấn công kiểm soát. Etherscan định giá tổng lượng ra khỏi ví tại thời điểm đó khoảng 7,54 triệu USD. - Hợp đồng cầu bị nhắm mục tiêu: 0x71518580f36feceffe0721f06ba4703218cd7f63 - Ví của kẻ tấn công nhận tiền: 0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54 (viết tắt: 0xCFd0…2D54) - Giao dịch khai thác (được báo cáo): https://t.co/XPN25gbZp4 Cách kẻ tấn công hoạt động Blockaid cho biết kẻ tấn công đã lạm dụng đường dẫn nhập của cầu để kích hoạt các khoản thanh toán trên Ethereum mà không có tài sản tương ứng trên chuỗi nguồn. Mặc dù vụ rút tiền tháng Bảy liên quan đến một giao dịch và ví do kẻ tấn công kiểm soát khác với sự cố tháng Năm, Blockaid mô tả cả hai sự cố đều sử dụng “cùng hợp đồng cầu, cùng đường vào và cùng lớp lỗi”. Báo cáo kỹ thuật đầy đủ về vụ tấn công tháng Bảy chưa được công bố tại thời điểm cảnh báo, và nguyên nhân gốc vẫn đang được điều tra. Bối cảnh và sự cố trước đó Đây là vụ tấn công lớn thứ hai vào cầu Verus trong vài tháng gần đây. Vào tháng Năm, cầu Verus Ethereum đã mất khoảng 11,58 triệu USD sau khi một lỗ hổng xác thực được cho phép một bản nhập chéo chuỗi giả mạo vượt qua kiểm tra, giải phóng nhiều tiền hơn trên Ethereum so với số tiền được cam kết trên chuỗi nguồn. Sau vụ khai thác đó, kẻ tấn công đã trả lại 4.052,4 ETH (khoảng 8,5 triệu USD tại thời điểm đó) theo điều khoản hòa giải, giữ lại 1.350 ETH như phần thưởng — khoảng 75% số ETH mà kẻ tấn công sở hữu sau khi chuyển đổi. Bối cảnh rộng hơn Vụ khai thác Verus tháng Bảy là một trong nhiều sự cố liên quan đến cầu được báo cáo trong vài giờ đồng hồ. Cùng ngày, AFX Trade chịu tổn thất ước tính 24,15 triệu USD và B² Network khoảng 3,86 triệu USD, tổng cộng thiệt hại được báo cáo lên tới khoảng 35,55 triệu USD qua ba sự kiện này, theo trình theo dõi trên blockchain Lookonchain. Vụ việc AFX liên quan đến USDC bị lấy từ cơ sở hạ tầng do một giao thức bên thứ ba vận hành và sau đó được chuyển đổi thành ETH. Tại sao điều này quan trọng Các cầu chéo chuỗi phải xác thực các sự kiện và giá trị giữa các blockchain riêng biệt đồng thời kiểm soát các quỹ chung. Sai sót trong xác thực tin nhắn, logic hợp đồng hoặc kiểm soát truy cập có thể khiến khoản thanh toán trên chuỗi được thực hiện mà không có khoản nạp tương ứng trên chuỗi nguồn. Blockaid cho biết vụ khai thác tháng Bảy “có vẻ liên quan đến sự cố cầu Verus Ethereum trước đó vào tháng Năm 2026”, nhưng chưa xác nhận liệu cùng lỗ hổng đã được tái sử dụng hay một đường vào mới thông qua quy trình nhập đã bị khai thác. Tiếp theo sẽ là gì Tại thời điểm báo cáo, các nguồn xác nhận rằng tiền đã rời khỏi cầu Verus đến ví của kẻ tấn công mới, nhưng không cho biết liệu bất kỳ tài sản nào đã bị đóng băng, trả lại hay khôi phục, cũng như không cung cấp lịch trình khắc phục. Cần thêm phân tích kỹ thuật để xác định liệu lỗ hổng tháng Năm vẫn còn khả năng khai thác hay một điểm yếu khác đã được sử dụng lần này — và theo dõi xem số tiền bị đánh cắp có được chuyển đổi hoặc rửa tiền thông qua các dịch vụ khác hay không. Đây là câu chuyện đang phát triển; chúng tôi sẽ cập nhật khi Blockaid hoặc Verus công bố thêm chi tiết kỹ thuật hoặc hành động khôi phục.