Verus-Ethereum Bridge ble utsatt for sitt andre utnyttelsesangrep på to måneder, der angripere tappet 7,3 millioner til 7,5 millioner dollar i ulike digitale eiendeler.
Verus Bridge rammes av det andre angrepet på 66 dager, ettersom en sårbarhet øker de totale tapene til 19,1 millioner dollar
SKREVET AV
DEL
Key Takeaways
- 23. juli utnyttet angripere en feil i Verus-Ethereum Bridge og stjal 7,5 millioner dollar i digitale eiendeler.
- Bruddet understreker DeFi-risikoen der kryptografiske bevis går gjennom, men aktivdekningen svikter.
- Brukere bør følge Verus-kanaler for oppdateringer, mens protokoller må rette logikken for tilstandssjekk.
Feilaktig logikk bak bruddet
Smartkontrakten til Verus-Ethereum Bridge ble utnyttet på nytt torsdag, og angriperne tappet 7,3 millioner til 7,5 millioner dollar i ulike digitale eiendeler, ifølge forskere innen blokkjede-sikkerhet. Hendelsen markerer det andre bruddet på den samme kontrakten og den samme sårbarheten på to måneder. 17. mai stjal angripere omtrent 11,6 millioner dollar ved å bruke en lignende metode, noe som bringer de totale tapene til rundt 19,1 millioner dollar.
Sikkerhetsanalytikere sa at angrepet innebar en ondsinnet konstruert import fra Verus-siden som inkluderte en utbetalingsforespørsel på Ethereum uten dekning. Broen verifiserte notarsignaturer, tilstands-røtter og Merkle-bevis, men den klarte ikke å verifisere at den forespurte utbetalingssummen samsvarte med eiendelene som var låst eller eksportert på Verus-siden.
Ifølge Backward Labs var grunnårsaken en omgåelse av autorisasjon og et problem knyttet til antakelser om protokolltilstand. Broen godtok en bevist import som autoriserte reserveutbetalinger i flere aktiva, men kritiske oppstrømskontroller for opprettelse, autorisasjon, overføringshash, antall og økonomisk dekning var utilstrekkelige. En analyse bemerket:
“Denne gangen forble den samme grunnårsaken utnyttbar i 66 dager.”
Eiendeler tappet fra broens reserver inkluderte Ether, tBTC, MKR, USDC, Tether, EURC og scrvUSD. For DAI interagerte broen med en Sky (tidligere MakerDAO)-sikkerhetsposisjon for å prege omtrent 220 357 DAI for å oppfylle den falske forespørselen.
Flere overvåkingsverktøy flagget transaksjonen med en kritisk score, og viste til tilstandsmanipulering, vilkårlig preging og utstrømninger fra desentralisert finans (DeFi).
Backward Labs publiserte en rapport og et proof-of-concept som fremhevet den brutt invarianten: «Ethereum-broreserver kan kun frigis for reserveoverføringer på kildekjedens side der CCE-opprettelse, autorisasjon, overføringshash, antall og økonomisk dekning alle er bevist under den forventede bro-livssyklusen.»
Utnyttelsen fremhever vedvarende sikkerhetsutfordringer med krysskjedebroer, der kryptografisk verifisering lykkes, men validering av forretningslogikk for aktivdekning svikter. Bro-utnyttelser er fortsatt et tilbakevendende problem i DeFi, og fører ofte til tap som ikke kan gjenopprettes fordi blokkjede-transaksjoner er uforanderlige.
Denne artikkelen er oversatt fra engelsk ved hjelp av kunstig intelligens. Den originale engelske versjonen er den autoritative kilden; automatiske oversettelser kan inneholde unøyaktigheter, særlig i juridisk og regulatorisk terminologi.
