Verus Bridge subisce il secondo attacco in 66 giorni: la vulnerabilità fa salire le perdite totali a 19,1 milioni di dollari

Logica difettosa alla base della violazione

Lo smart contract del Verus-Ethereum Bridge è stato nuovamente sfruttato giovedì, con gli hacker che hanno sottratto da 7,3 a 7,5 milioni di dollari in diversi asset digitali, secondo quanto riferito dai ricercatori di sicurezza blockchain. L’incidente segna la seconda violazione dello stesso contratto e della stessa vulnerabilità in due mesi. Il 17 maggio, gli aggressori hanno sottratto circa 11,6 milioni di dollari utilizzando un metodo simile, portando le perdite totali a circa 19,1 milioni di dollari.

Gli analisti di sicurezza hanno affermato che l’attacco ha comportato un’importazione creata in modo malevolo dal lato Verus che includeva una richiesta di pagamento non coperta su Ethereum. Il bridge ha verificato le firme notarili, le radici di stato e le prove di Merkle, ma non è riuscito a verificare che l’importo del pagamento richiesto corrispondesse alle risorse bloccate o esportate dal lato Verus.

Secondo Backward Labs, la causa principale è stata un bypass dell’autorizzazione e un problema relativo all’assunto sullo stato del protocollo. Il bridge ha accettato un’importazione convalidata che autorizzava pagamenti dalla riserva multi-asset, ma i controlli critici a monte relativi a creazione, autorizzazione, hash di trasferimento, conteggio e copertura economica erano insufficienti. Un’analisi ha osservato:

«Questa volta, la stessa causa principale è rimasta vulnerabile per 66 giorni.»

Le risorse sottratte dalle riserve del bridge includevano Ether, tBTC, MKR, USDC, Tether, EURC e scrvUSD. Per quanto riguarda il DAI, il bridge ha interagito con una posizione di garanzia su Sky (precedentemente MakerDAO) per coniare circa 220.357 DAI al fine di soddisfare la richiesta fraudolenta.

Diversi strumenti di monitoraggio hanno segnalato la transazione con un punteggio critico, citando la manipolazione dello stato, l’emissione arbitraria e i deflussi dalla finanza decentralizzata (DeFi).

Backward Labs ha pubblicato un rapporto e un proof-of-concept che evidenziano l’invariante violata: «Le riserve del bridge di Ethereum possono essere rilasciate solo per trasferimenti di riserve dalla catena di origine la cui creazione CCE, autorizzazione, hash di trasferimento, conteggio e copertura economica siano tutti comprovati nell’ambito del ciclo di vita previsto del bridge».

L’exploit mette in luce le continue sfide di sicurezza relative ai ponti cross-chain, dove la verifica crittografica ha esito positivo ma la convalida della logica di business relativa alla copertura degli asset fallisce. Gli exploit dei ponti rimangono un problema ricorrente nella DeFi, che spesso porta a perdite irrecuperabili poiché le transazioni sulla blockchain sono immutabili.