Il bridge di Verus hackerato di nuovo per 7,54 milioni di dollari mentre una vecchia classe di bug continua a drenare criptovalute

Un attaccante è riuscito a rubare circa $7,54 milioni dal bridge Ethereum di Verus giovedì. È la seconda volta in circa due mesi che un exploit viene eseguito con successo utilizzando questo bridge. Sembra che la vulnerabilità scoperta all'inizio di quest'anno non sia mai stata completamente risolta. Questo dimostra come alcune vulnerabilità note continuino a minacciare i sistemi cross-chain.

I bridge cross-chain permettono agli utenti di bloccare asset su una blockchain e di conseguenza emettere token equivalenti su un'altra blockchain. Tuttavia, la maggior parte dei bridge contiene pool di liquidità condivisi estremamente grandi. Pertanto, un piccolo errore da parte dei validatori può causare perdite dell'ordine di milioni di dollari. Secondo l'azienda di cybersecurity blockchain Blockaid, sembra che la stessa cosa sia accaduta nell'attacco a Verus, con lo stesso tipo di bug che ha colpito alcuni dei più grandi hack di bridge crypto dal 2022.

Un colpo ripetuto sullo stesso contratto

Secondo Blockaid, l'assalitore ha sfruttato il meccanismo per le importazioni del bridge per attivare pagamenti relativi a Ethereum che non corrispondevano ai valori effettivi sulla blockchain di Verus. L'hacker è riuscito a rubare asset tra cui ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD, con perdite totali che hanno raggiunto circa 7,54 milioni di dollari in termini di valore.

L'attacco si è concentrato sul contratto del protocollo bridge di Verus Ethereum a 0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63 mentre il denaro è stato tracciato fino al wallet dell'hacker 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54.

Le prove della blockchain sono facilmente accessibili su Etherscan. Questo include il contratto del bridge, il wallet dell'attaccante e la transazione di exploit.

L'incidente è particolarmente interessante perché è molto simile a un altro accaduto a maggio 2026, l'hack del bridge Verus in cui sono stati drenati 11,58 milioni di dollari. Blockaid ha dichiarato che entrambi gli attacchi hanno preso di mira il stesso contratto attraverso la stessa via di importazione, il che significa che la vulnerabilità non è stata risolta.

Perché il bug paga milioni per centesimi

Le società di sicurezza Halborn e Merkle Science sono anche giunte alla stessa conclusione basandosi sui loro risultati dopo aver analizzato l'attacco precedente.

"La vulnerabilità non era un fallimento crittografico, ma una mancanza di convalida che assicurava che il valore impegnato sulla catena Verus corrispondesse al valore rilasciato su Ethereum." — Rob Behnke, Halborn

Secondo Halborn, una transazione del valore di anche solo circa 1 centesimo supererebbe comunque tutte le firme del bridge e i requisiti di prova Merkle prima che il contratto intelligente Ethereum venga attivato per eseguire quella transazione e rilasciare gli asset del valore di milioni di dollari.

Secondo Merkle Science, la causa del problema è stata determinata essere la funzione checkCCEValues nel codice del bridge.

"Il bridge non ha convalidato che il valore di origine corrispondesse al pagamento di destinazione, permettendo a un attaccante di spendere solo commissioni minime mentre prelevava milioni." — Mir Jalal, Merkle Science

L'azienda riteneva che il problema derivasse da circa 10 righe di convalida Solidity mancanti, che hanno permesso all'attaccante di convertire circa 10 dollari di commissioni di transazione VRSC in un pagamento di 11,58 milioni di dollari.

Le due aziende hanno chiarito che la crittografia del bridge e la prova di convalida funzionavano come dovrebbero. Il problema effettivo, tuttavia, era che il contratto non verificava che il valore rilasciato su Ethereum fosse supportato dagli asset sulla catena Verus. Merkle Science ha sottolineato che lo stesso tipo di fallimento di convalida è stato anche responsabile degli exploit dei bridge Wormhole e Nomad nel 2022.

Cosa significa per un mercato che pensava che i bridge fossero più sicuri

L'incidente di Verus si verifica in un momento in cui altre vie nella comunità delle criptovalute hanno visto meno perdite dagli attacchi ai bridge.

Secondo i dati raccolti da TRM Labs, ci sono stati in totale 207 attacchi informatici alle criptovalute, il numero più alto visto in qualsiasi intervallo di sei mesi. Al contrario, le perdite totali sono scese da 2,3 miliardi a 972 milioni di dollari durante lo stesso periodo nel 2025, e l'importo mediano degli hack è diminuito a circa 219.000 dollari nel periodo attuale.

La sicurezza dei bridge è stata inoltre potenziata negli ultimi anni. Come indicato in un rapporto di Immunefi, la percentuale di perdite DeFi relative agli hack dei bridge nel 2022 era del 73%, ma nel 2025 quella cifra era scesa solo al 3%. Questo indica che la qualità degli audit e dei design dei bridge sul mercato è migliorata significativamente.

Tuttavia, la violazione a Verus rivela che i progressi nel settore nel suo complesso non compensano le vulnerabilità esistenti non affrontate. Un problema che è stato rivelato per la prima volta dopo l'exploit di maggio sembra essere stato sfruttato di nuovo, alimentando la narrazione che affrontare le vulnerabilità note è molto più essenziale che assumere che non siano più a rischio.

Verus non ha pubblicato un post-mortem ufficiale per l'incidente di giovedì. A seguito dell'incidente di maggio, Merkle Science ha istruito gli utenti a evitare l'uso del bridge fino a quando la convalida difettosa non fosse stata risolta e avesse ottenuto l'approvazione da un revisore indipendente. Gli utenti dovrebbero fare attenzione ed evitare i trasferimenti sul bridge finché il progetto non sarà in grado di confermare che il lavoro è stato completato.