Verus-Bridge erneut für 7,54 Mio. US-Dollar gehackt, da eine alte Bug-Klasse weiterhin Krypto abfließen lässt

Ein Angreifer gelangte es, etwa 7,54 Millionen US-Dollar von der Verus Ethereum Bridge am Donnerstag zu stehlen. Dies ist das zweite Mal innerhalb von etwa zwei Monaten, dass ein Exploit erfolgreich mit dieser Bridge durchgeführt wurde. Es scheint, dass die Schwachstelle, die Anfang dieses Jahres entdeckt wurde, nie vollständig behoben wurde. Dies zeigt, wie einige bekannte Schwachstellen weiterhin Cross-Chain-Systeme bedrohen.

Cross-Chain-Bridges ermöglichen es Nutzern, Vermögenswerte auf einer Blockchain zu sperren und daraufhin äquivalente Tokens auf einer anderen Blockchain auszustellen. Die meisten Bridges enthalten jedoch extrem große gemeinsame Liquiditätspools. Daher kann bereits ein kleiner Fehler von Validierern zu Verlusten in Millionenhöhe führen. Laut der Blockchain-Cybersicherheitsfirma Blockaid scheint dasselbe beim Verus-Angriff passiert zu sein, wobei dieselbe Art von Bug einige der größten Krypto-Bridge-Hacks seit 2022 betraf.

Ein wiederholter Treffer auf denselben Vertrag

Laut Blockaid nutzte der Angreifer den Mechanismus für Imports der Bridge aus, um Ethereum-bezogene Auszahlungen zu aktivieren, die nicht den tatsächlichen Werten auf der Verus-Blockchain entsprachen. Der Hacker konnte Vermögenswerte einschließlich ETH, tBTC, USDC, USDT, EURC, MKR und scrvUSD stehlen, wobei die Gesamtverluste etwa 7,54 Millionen US-Dollar in Wertbetracht erreichten.

Der Angriff konzentrierte sich auf den Verus Ethereum Bridge-Protokollvertrag bei 0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63, während das Geld auf die Wallet des Hackers 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54 zurückverfolgt wurde.

Die Blockchain-Beweise sind auf Etherscan leicht zugänglich. Dazu gehören der Bridge-Vertrag, die Wallet des Angreifers sowie die Exploit-Transaktion.

Der Vorfall ist besonders interessant, weil er einem anderen Vorfall im Mai 2026 sehr ähnlich ist, dem Verus-Bridge-Hack, bei dem 11,58 Millionen US-Dollar abgeflossen sind. Blockaid stellte fest, dass beide Angriffe den gleichen Vertrag über dieselbe Importroute angriffen, was bedeutet, dass die Schwachstelle nicht behoben wurde.

Warum der Bug Millionen auf Cent ausbezahlt

Die Sicherheitsfirmen Halborn und Merkle Science kamen basierend auf ihren Erkenntnissen nach der Analyse des früheren Angriffs zu demselben Schluss.

„Die Schwachstelle war kein kryptografisches Versagen, sondern eine fehlende Validierung, die sicherstellte, dass der auf der Verus-Chain festgeschriebene Wert mit dem auf Ethereum freigegebenen Wert übereinstimmte.“ — Rob Behnke, Halborn

Laut Halborn würde eine Transaktion im Wert von sogar etwa 1 Cent alle Signaturen und Merkle-Proof-Anforderungen der Brücke bestehen, bevor der Ethereum-Smart-Contract ausgelöst wird, um die Transaktion auszuführen und die im Wert von Millionen Dollar liegenden Assets freizugeben.

Laut Merkle Science wurde die Ursache des Problems als die Funktion checkCCEValues im Code der Brücke identifiziert.

„Die Brücke hat nicht validiert, dass der Quellwert mit der Auszahlung am Zielort übereinstimmt, was es einem Angreifer ermöglichte, nur minimale Gebühren zu zahlen, während er Millionen abhob.“ — Mir Jalal, Merkle Science

Das Unternehmen ging davon aus, dass das Problem auf etwa 10 Zeilen fehlender Solidity-Validierung beruhte, die es dem Angreifer ermöglichten, VRSC-Transaktionsgebühren im Wert von etwa 10 US-Dollar in eine Auszahlung von 11,58 Millionen US-Dollar umzuwandeln.

Die beiden Unternehmen stellten klar, dass die Kryptografie und der Validierungsnachweis der Brücke wie vorgesehen funktionierten. Das eigentliche Problem bestand jedoch darin, dass der Vertrag nicht überprüfte, ob der auf Ethereum freigegebene Wert durch die Assets auf der Verus-Chain gedeckt war. Merkle Science wies darauf hin, dass derselbe Typ von Validierungsversagen auch für die Wormhole- und Nomad-Brücken-Exploits im Jahr 2022 verantwortlich war.

Was das für einen Markt bedeutet, der dachte, Brücken seien sicherer

Der Vorfall bei Verus geschieht zu einer Zeit, in der andere Bereiche der Kryptowährungsgemeinschaft weniger Verluste durch Brückenangriffe verzeichnet haben.

Laut von TRM Labs gesammelten Daten gab es insgesamt 207 Cybersicherheitsangriffe auf Krypto, was die höchste Zahl in einem beliebigen Sechsmonatszeitraum ist. Im Gegensatz dazu sank der Gesamtverlust von 2,3 Milliarden US-Dollar auf 972 Millionen US-Dollar im selben Zeitraum im Jahr 2025, und der Median der Hack-Beträge sank auf etwa 219.000 US-Dollar in der aktuellen Periode.

Die Sicherheit von Bridges wurde in den letzten Jahren ebenfalls verbessert. Wie in einem Bericht von Immunefi angegeben, lag der Prozentsatz der DeFi-Verluste, die auf Bridge-Hacks zurückzuführen sind, im Jahr 2022 bei 73 %, aber im Jahr 2025 war diese Zahl auf nur 3 % gesunken. Dies zeigt, dass sich die Qualität der Audits und Bridge-Designs auf dem Markt erheblich verbessert hat.

Trotzdem zeigt der Einbruch bei Verus, dass Fortschritte in der Branche als Ganzes nicht für bestehende, ungelöste Schwachstellen aufwiegen. Ein Problem, das erstmals nach dem Mai-Exploit offengelegt wurde, scheint erneut ausgenutzt worden zu sein, was die Narrative vorantreibt, dass der Umgang mit bekannten Schwachstellen weitaus wichtiger ist als die Annahme, sie seien nicht mehr gefährlich.

Verus hat keinen offiziellen Post-Mortem für den Vorfall am Donnerstag veröffentlicht. In der Folge des Vorfalls im Mai wies Merkle Science die Nutzer an, die Brücke nicht zu nutzen, bis die fehlerhafte Validierung behoben und von einem separaten Prüfer freigegeben wurde. Nutzer sollten vorsichtig sein und Brückenüberweisungen vermeiden, bis das Projekt bestätigen kann, dass diese Arbeiten abgeschlossen sind.