Die Verus-Bridge wurde erneut gehackt, wodurch 7,54 Millionen US-Dollar erbeutet wurden. Eine alte Sicherheitslücke sorgt weiterhin für den Verlust von Kryptowährungen
- Ein Angreifer stahl etwa 7,54 Millionen Dollar von der Verus Ethereum Bridge und nutzte dabei dieselbe Sicherheitslücke aus, die bereits im Mai bei einem Hackerangriff im Wert von 11,58 Millionen Dollar zum Einsatz kam.
- Die Sicherheitslücke entstand durch eine fehlende Validierungsprüfung, die es der Bridge ermöglichte, mehr Vermögenswerte auf Ethereum freizugeben, als auf der Verus-Chain hinterlegt waren.
- Der wiederholte Angriff verdeutlicht, dass ungelöste Sicherheitslücken trotz umfassenderer Sicherheitsverbesserungen im DeFiweiterhin ein großes Risiko für Cross-Chain-Bridges darstellen.
Am Donnerstag gelang es einem Angreifer, rund 7,54 Millionen US-Dollar von der Verus Ethereum . Dies ist bereits der zweite erfolgreiche Exploit dieser Bridge innerhalb von etwa zwei Monaten. Offenbar wurde die Anfang des Jahres entdeckte Sicherheitslücke nie vollständig behoben. Dies verdeutlicht, wie bekannte Schwachstellen weiterhin Cross-Chain-Systeme gefährden. -Bridge zu stehlen
Cross-Chain-Bridges ermöglichen es Nutzern, Vermögenswerte auf einer Blockchain zu sperren und im Gegenzug äquivalente Token auf einer anderen Blockchain auszugeben. Die meisten Bridges verfügen jedoch über extrem große, gemeinsam genutzte Liquiditätspools. Daher kann bereits ein kleiner Fehler der Validatoren Verluste in Millionenhöhe verursachen. Laut dem Blockchain-Sicherheitsunternehmen Blockaid scheint genau dies beim Verus-Angriff der Fall gewesen zu sein; derselbe Fehlertyp war für einige der größten Krypto-Bridge-Hacks seit 2022 verantwortlich.
Ein erneuter Treffer beim selbentrac
Laut Blockaid nutzte der Angreifer den Mechanismus für Bridge-Importe aus, um Ethereum-bezogene Auszahlungen , die nicht den tatsächlichen Werten auf der Verus-Blockchain entsprachen. Der Hacker konnte Vermögenswerte wie ETH, tBTC, USDC, USDT, EURC, MKR und scrvUSD stehlen, wodurch ein Gesamtschaden von rund 7,54 Millionen US-Dollar entstand.
Der Angriff konzentrierte sich auf den Verus Ethereum Bridge-Protokoll-Vertragtrac0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63 , während das Geld traczur Wallet des Hackers unter 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54 zurückverfolgt
Die Blockchain-Beweise sind auf Etherscan leicht zugänglich . Dazu gehören der Bridge-Vertragtracdie Wallet des Angreifers sowie die Exploit-Transaktion.
Derdent ist besonders interessant, da er einem anderen Vorfalldent Mai 2026, dem Verus-Bridge-Hack, bei dem 11,58 Millionen US-Dollar erbeutet wurden, sehr ähnlich ist. Blockaid gab an, dass beide Angriffe denselben VertragtracImportweg , was bedeutet, dass die Sicherheitslücke noch nicht behoben ist.
Warum der Bug Millionen mit Centbeträgen ausschüttet
Die Sicherheitsunternehmen Halborn und Merkle Science kamen nach der Analyse des vorangegangenen Angriffs ebenfalls zu demselben Schluss.
„Die Schwachstelle war kein kryptografischer Fehler, sondern eine fehlende Validierung, die sicherstellte, dass der auf der Verus-Blockchain gespeicherte Wert mit dem auf Ethereum.“ – Rob Behnke, Halborn
Laut Halborn würde selbst eine Transaktion im Wert von nur etwa 1 Cent alle Signatur- und Merkle-Proof-Anforderungen der Bridge erfüllen, bevor der Ethereum Smarttracausgelöst wird, um diese Transaktion auszuführen und die Vermögenswerte im Wert von Millionen von Dollar freizugeben.
Laut Merkle Science wurde die Ursache des Problems in der Funktion checkCCEValues im Code der Brücke ermittelt.
„Die Brücke konnte nicht überprüfen, ob der Quellbetrag mit der Zielauszahlung übereinstimmte, wodurch ein Angreifer mit minimalen Gebühren Millionen abheben konnte.“ – Mir Jalal, Merkle Science
Das Unternehmen ging davon aus, dass das Problem auf etwa 10 fehlende Solidity-Validierungszeilen zurückzuführen war, wodurch der Angreifer VRSC-Transaktionsgebühren im Wert von etwa 10 US-Dollar in eine Auszahlung von 11,58 Millionen US-Dollar umwandeln konnte.
Die beiden Unternehmen stellten klar, dass die Kryptografie und der Validierungsnachweis der Bridge ordnungsgemäß funktionierten. Das eigentliche Problem bestand jedoch darin, dass dertracnicht überprüfte, ob der auf Ethereum freigegebene Wert durch die Assets auf der Verus-Chain gedeckt war. Merkle Science wies darauf hin, dass derselbe Validierungsfehler auch für die Sicherheitslücken der Wormhole- und Nomad-Bridge im Jahr 2022 verantwortlich war.
Was das für einen Markt bedeutet, der Brücken für sicherer hielt
Der Verus-dent ereignet sich zu einer Zeit, in der andere Bereiche der Kryptowährungsgemeinschaft weniger Verluste durch Bridge-Angriffe verzeichnen.
Laut Daten von TRM Labsgab es insgesamt 207 Cyberangriffe auf Kryptowährungen – der höchste Wert, der jemals in einem Sechsmonatszeitraum verzeichnet wurde. Im Gegensatz dazu sanken die Gesamtschäden im gleichen Zeitraum bis 2025 von 2,3 Milliarden US-Dollar auf 972 Millionen US-Dollar, und der durchschnittliche Schaden pro Hack ging in der Gegenwart auf rund 219.000 US-Dollar zurück.
Die Sicherheit von Bridges wurde in den letzten Jahren ebenfalls verbessert. Wie ein Bericht von Immunefi, lag der Anteil der DeFi Verluste durch Bridge-Hacking im Jahr 2022 bei 73 %, sank aber bis 2025 auf nur noch 3 %. Dies deutet auf eine signifikante Verbesserung der Qualität von Audits und Bridge-Designs am Markt hin.
Dennoch zeigt der Sicherheitsvorfall bei Verus, dass Fortschritte in der Branche insgesamt bestehende, ungelöste Schwachstellen nicht ausgleichen können. Ein Problem, das erstmals nach dem Exploit im Mai aufgedeckt wurde, scheint erneut ausgenutzt worden zu sein, was die Annahme bestärkt, dass die Behebung bekannter Schwachstellen weitaus wichtiger ist, als davon auszugehen, dass sie nicht mehr gefährdet sind.
Verus hat noch keinen offiziellen Untersuchungsbericht zum Vorfall vom Donnerstag veröffentlicht. Nach demdentim Mai wies Merkle Science die Nutzer an, die Bridge nicht zu verwendendentbis die fehlerhafte Validierung behoben und von einem unabhängigen Prüfer freigegeben wurde. Nutzer sollten Vorsicht walten lassen und von Bridge-Transfers absehen, bis das Projekt die Fertigstellung dieser Arbeiten bestätigen kann.
Lesen Sie Krypto-News nicht nur, sondern verstehen Sie sie. Abonnieren Sie unseren Newsletter. Er ist kostenlos.
Häufig gestellte Fragen
Wie viel wurde beim Anschlag auf die Verus-Brücke gestohlen?
Blockaid bezifferte den Verlust auf rund 7,54 Millionen US-Dollar, die am Donnerstag in ETH, tBTC, USDC, USDT, EURC, MKR und scrvUSD aus den Reserven der Brücke entnommen wurden.
Handelt es sich um dasselbe wie den früheren Verus-Hack?
Blockaid gibt an, dass es sich um einen Vorfall im Zusammenhang mit dem Verus-Bridge-dentvom Mai 2026 handelt, und verweist auf denselbentrac, denselben Zugriffspfad und dieselbe Fehlerklasse. Allerdings handelte es sich um eine neue Transaktion eines anderen Angreifers, der Gelder an eine andere Wallet überwies.
Was war die Ursache des zugrundeliegenden Fehlers?
Laut Halborn und Merkle Science überprüfte die Bridge zwar Signaturen und Beweise korrekt, prüfte aber nie, ob der auf der Verus-Seite hinterlegte Wert mit der auf Ethereumbeanspruchten Auszahlung übereinstimmte. Merkle Science lokalisierte diese fehlende Validierung in der Funktion checkCCEValues.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan/ übernimmt keine Haftung für Investitionen, die auf Grundlage der Informationen auf dieser Seite getätigt werden. Wirtronempfehlen dringend, vor jeder Anlageentscheidung eigene Recherchen durchzuführendent oder einen qualifizierten Fachmann zu konsultieren
Ashish Kumar
Ashish Kumar ist Krypto- und Finanzjournalist mit acht Jahren Redaktionserfahrung. Er berichtet über aktuelle Entwicklungen auf den Kryptomärkten, Regulierungen, DeFiund Börsenökosystemen. Er hat bereits für Coingape, Todayq und Newsroompost gearbeitet. Ashish besitzt ein Postgraduate Diploma in English Journalism vom IIMC. Er hat außerdem Branchengrößen wie Arthur Hayes, Yat Siu, Austin Federa und andere interviewt.
