Verus Bridge Mengalami Serangan Eksploitasi Kedua dalam 66 Hari; Celah Keamanan Ini Menyebabkan Total Kerugian Mencapai $19,1 Juta

Logika yang Cacat di Balik Serangan

Kontrak pintar Verus-Ethereum Bridge kembali dieksploitasi pada hari Kamis, dengan para penyerang menguras aset digital senilai $7,3 juta hingga $7,5 juta, menurut para peneliti keamanan blockchain. Insiden ini menandai pelanggaran kedua terhadap kontrak dan kerentanan yang sama dalam dua bulan terakhir. Pada 17 Mei, penyerang mencuri sekitar $11,6 juta menggunakan metode serupa, sehingga total kerugian mencapai sekitar $19,1 juta.

Analis keamanan mengatakan serangan tersebut melibatkan impor yang dirancang secara jahat dari sisi Verus yang mencakup permintaan pembayaran tanpa jaminan di Ethereum. Jembatan tersebut memverifikasi tanda tangan notaris, akar status, dan bukti Merkle, tetapi gagal memverifikasi bahwa jumlah pembayaran yang diminta sesuai dengan aset yang dikunci atau diekspor di sisi Verus.

Menurut Backward Labs, akar masalahnya adalah adanya bypass otorisasi dan masalah asumsi status protokol. Jembatan tersebut menerima impor yang telah diverifikasi yang mengizinkan pembayaran cadangan multi-aset, namun pemeriksaan hulu yang kritis terkait pembuatan, otorisasi, hash transfer, jumlah, dan dukungan ekonomi tidak memadai. Sebuah analisis mencatat:

"Kali ini, akar masalah yang sama tetap dapat dieksploitasi selama 66 hari."

Aset yang terkuras dari cadangan jembatan tersebut meliputi Ether, tBTC, MKR, USDC, Tether, EURC, dan scrvUSD. Untuk DAI, jembatan tersebut berinteraksi dengan posisi agunan Sky (sebelumnya MakerDAO) untuk mencetak sekitar 220.357 DAI guna memenuhi permintaan penipuan tersebut.

Beberapa alat pemantauan menandai transaksi tersebut dengan skor kritis, dengan alasan manipulasi status, pencetakan yang sewenang-wenang, dan arus keluar dari keuangan terdesentralisasi (DeFi).

Backward Labs menerbitkan laporan dan bukti konsep yang menyoroti pelanggaran prinsip invarian: "Cadangan jembatan Ethereum hanya boleh dilepaskan untuk transfer cadangan rantai sumber yang pembuatannya (CCE), otorisasi, hash transfer, jumlah, dan dukungan ekonominya semuanya telah diverifikasi sesuai dengan siklus hidup jembatan yang diharapkan."

Eksploitasi ini menyoroti tantangan keamanan yang terus berlanjut pada jembatan lintas rantai, di mana verifikasi kriptografi berhasil namun validasi logika bisnis untuk dukungan aset gagal. Eksploitasi jembatan tetap menjadi masalah berulang di DeFi, seringkali menyebabkan kerugian yang tidak dapat dipulihkan karena transaksi blockchain bersifat tidak dapat diubah.