Il bridge Verus è stato nuovamente hackerato per 7,54 milioni di dollari, mentre una vecchia classe di bug continua a prosciugare le criptovalute

un hacker è riuscito a rubare circa 7,54 milioni di dollari dal bridge Verus Ethereum . Si tratta della seconda volta in circa due mesi che un attacco informatico è andato a buon fine sfruttando questa vulnerabilità. Sembra che la vulnerabilità scoperta all'inizio di quest'anno non sia mai stata completamente corretta. Questo dimostra come alcune vulnerabilità note continuino a rappresentare una minaccia per i sistemi cross-chain.

I bridge cross-chain consentono agli utenti di bloccare asset su una blockchain e di conseguenza emettere token equivalenti su un'altra blockchain. Tuttavia, la maggior parte dei bridge contiene pool di liquidità condivisi estremamente ampi. Pertanto, anche un piccolo errore da parte dei validatori può causare perdite per milioni di dollari. Secondo la società di sicurezza informatica blockchain Blockaid, sembra che lo stesso problema si sia verificato nell'attacco a Verus, con lo stesso tipo di bug che ha colpito alcuni dei più grandi attacchi hacker ai bridge di criptovalute dal 2022.

Un colpo ripetuto sullo stessotrac

Secondo Blockaid, l'aggressore ha sfruttato il meccanismo di importazione del bridge per attivare Ethereumpagamenti relativi che non corrispondevano ai valori effettivi sulla blockchain di Verus. L'hacker è riuscito a rubare asset tra cui ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD, con perdite totali che ammontano a circa 7,54 milioni di dollari.

L'attacco si è concentrato sul Ethereum protocollo bridgetrac, mentre il denaro è stato tracnel portafoglio dell'hacker all'indirizzo 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54.

Le prove blockchain sono facilmente accessibili su Etherscan. Queste includono iltrac, il portafoglio dell'attaccante e la transazione di exploit.

L'incidentedent particolarmente interessante perché è molto simile a un altro episodiodent nel maggio 2026, l'attacco hacker al bridge Verus, in cui furono sottratti 11,58 milioni di dollari. Blockaid ha dichiarato che entrambi gli attacchi hanno preso di mira lo contrattotracstesso la stessa rotta di importazione, il che significa che la vulnerabilità non è stata ancora corretta.

Perché l'insetto paga milioni sui centesimi

Anche le società di sicurezza Halborn e Merkle Science sono giunte alla stessa conclusione in base ai risultati delle loro analisi sul precedente attacco.

“La vulnerabilità non era un errore crittografico, bensì la mancanza di una validazione che garantisse che il valore registrato sulla blockchain di Verus corrispondesse al valore rilasciato su Ethereum.” — Rob Behnke, Halborn

Secondo Halborn, anche una transazione del valore di circa 1 centesimo supererebbe tutti i requisiti di firma e di protezione Merkle del bridge prima che lo smarttracEthereum venga attivato per eseguire la transazione e rilasciare gli asset per un valore di milioni di dollari.

Secondo Merkle Science, la causa del problema è stata individuata nella funzione checkCCEVales presente nel codice del bridge.

"Il sistema di interconnessione non è riuscito a verificare che il valore di origine corrispondesse al pagamento di destinazione, consentendo a un malintenzionato di pagare solo commissioni minime prelevando milioni." — Mir Jalal, Merkle Science

L'azienda riteneva che il problema derivasse da circa 10 righe di convalida Solidity mancanti, che avrebbero permesso all'attaccante di convertire circa 10 dollari di commissioni di transazione VRSC in un pagamento di 11,58 milioni di dollari.

Le due società hanno chiarito che la crittografia e la prova di validazione del bridge funzionavano correttamente. Il problema reale, tuttavia, era che iltracnon verificava che il valore rilasciato su Ethereum fosse supportato dagli asset sulla blockchain di Verus. Merkle Science ha sottolineato che lo stesso tipo di errore di validazione era stato anche responsabile degli exploit Wormhole e Nomad bridge nel 2022.

Cosa significa per un mercato che pensava che i ponti fossero più sicuri

L'dent di Verus si verifica in un momento in cui altri settori della comunità delle criptovalute hanno registrato un numero inferiore di perdite dovute ad attacchi bridge.

Secondo i dati raccolti da TRM Labs, si sono verificati un totale di 207 attacchi informatici contro le criptovalute, il numero più alto mai registrato in un periodo di sei mesi. Al contrario, le perdite totali sono diminuite da 2,3 miliardi di dollari a 972 milioni di dollari nello stesso arco di tempo del 2025, e l'importo medio di ogni attacco si è ridotto a circa 219.000 dollari nel periodo attuale.

Negli ultimi anni anche la sicurezza dei bridge è stata rafforzata. Come indicato in un rapporto di Immunefi, la percentuale di DeFi legate agli attacchi hacker ai bridge nel 2022 si attestava al 73%, mentre nel 2025 tale cifra era scesa al 3%. Ciò indica che la qualità degli audit e della progettazione dei bridge sul mercato è migliorata significativamente.

Tuttavia, la violazione subita da Verus rivela che i progressi compiuti nel settore nel suo complesso non compensano le vulnerabilità ancora irrisolte. Un problema emerso per la prima volta dopo l'attacco di maggio sembra essere stato sfruttato nuovamente, rafforzando l'idea che affrontare le vulnerabilità note sia molto più importante che presumere che non rappresentino più un rischio.

Verus non ha pubblicato un'analisi ufficialedentdi giovedì. In seguitodentdi maggio, Merkle Science aveva raccomandato agli utenti di astenersi dall'utilizzare il bridge fino a quando la validazione errata non fosse stata risolta e approvata da un revisore indipendente. Gli utenti sono invitati a prestare attenzione e ad evitare trasferimenti tramite bridge fino a quando il progetto non sarà in grado di confermare il completamento di tale intervento.