Verus subisce un hack da $11,5 milioni mentre le vulnerabilità legate ai bridge raggiungono $329 milioni nel 2026
- Gli hacker hanno drenato tBTC, ETH e USDC dal ponte Verus-Ethereum prima di consolidare i fondi in oltre 5.400 ETH detenuti in un unico portafoglio.
- I ricercatori di sicurezza hanno dichiarato che l'exploit assomigliava alla stessa classe di vulnerabilità di verifica alla base del storico attacco al ponte Wormhole e all'exploit del ponte Nomad.
- Gli exploit dei ponti cross-chain hanno ormai causato perdite superiori a 328 milioni di dollari nel 2026.
Il 18 maggio, un attaccante ha drenato circa $11,5 milioni dal bridge Verus-Ethereum utilizzando una prova di Merkle falsata. Questo evento si aggiunge al numero crescente di exploit sui bridge cross-chain che hanno raggiunto $328,6 milioni solo nel 2026.
Il bridge Verus-Ethereum è il più recente a subire un exploit in un mese che sembra aver ripreso da dove aprile, record, aveva lasciato.
Come è stato hackerato Verus?
L'azienda di sicurezza blockchain PeckShieldAlert è stato segnalato che l'attaccante ha estratto 103,6 tBTC, 1.625 ETH e 147.000 USDC dal contratto del bridge, per poi convertire i token rubati in 5.402,4 ETH del valore di circa 11,4 milioni di dollari.
Secondo PeckShieldAlert e Blockaid, entrambi i quali hanno segnalato indipendentemente l'exploit, i fondi convertiti sarebbero rimasti in un singolo wallet all'indirizzo 0x65Cb8b128Bf6e690761044CCECA422bb239C25F9.
Blockaid ha anche identificato l'account esterno (EOA) dell'attaccante e pubblicato l'hash della transazione dell'exploit.
Come ha funzionato l'exploit?
Blockaid ha condiviso un thread su X, affermando che l'attacco rientrava nella stessa classe di vulnerabilità alla base di due dei più famosi hack di bridge nel mondo crypto: la violazione di Wormhole da 320 milioni di dollari e il drenaggio di Nomad da 190 milioni di dollari, entrambi nel 2022.
EOA Attaccante: 0x5aBb91B9c01A5Ed3aE762d32B236595B459D5777
Wallet Drainer (ancora in possesso dei fondi): 0x65Cb8b128Bf6e690761044CCECA422bb239C25F9Tx Exploit: https://t.co/OqBh2alXGc
Contratto Bridge: https://t.co/EN3LkDfId9— Blockaid (@blockaid_) Maggio 18, 2026
Secondo Blockaid, il bridge di Verus ha verificato correttamente le radici di stato notarizzate, incluse le firme crittograficamente valide di 8 dei 15 notai. Tuttavia, la debolezza risiedeva in ciò che il bridge non ha verificato oltre a questo passaggio di verifica.
Cos, fondatore della società di sicurezza blockchain SlowMist e noto come @evilcos su X, ha dichiarato, "La causa dell'hack potrebbe essere che l'attaccante ha costruito una prova Merkle falsificata, che ha superato la verifica del bridge Ethereum di Verus (non open-source), consentendo loro di prelevare i fondi (ETH/tBTC/USDC) senza problemi." Cos ha aggiunto che "i dettagli specifici necessitano di ulteriore verifica."
Verus ha eseguito una patch di emergenza due giorni prima dell'hack
Secondo CoinXtreme, Verus aveva spinto quella che definiva un'aggiornamento di emergenza "urgente e obbligatorio", versione 1.2.14-2, proprio due giorni prima che si verificasse l'exploit.
L'aggiornamento è stato descritto come una correzione per una vulnerabilità; tuttavia, non è ancora chiaro se la vulnerabilità corretta e quella sfruttata siano correlate, poiché Verus non si è espresso pubblicamente sull'incidente al momento della segnalazione.
Gli exploit dei bridge superano i 328 milioni di dollari quest'anno
Otto principali exploit legati ai bridge exploit si sono verificati quest'anno, con il bridge di Verus che è il più recente, secondo PeckShieldAlert. Le perdite cumulative ammontano a circa 328,6 milioni di dollari.
Questo si aggiunge a quello che ora è considerato uno schema che ha afflitto le infrastrutture cross-chain da quando bridge come Wormhole e Nomad hanno subito gravi exploit quattro anni fa.
I critici continuano a sottolineare che i bridge rimangono obiettivi ad alto valore perché custodiscono grandi pool di asset bloccati e un singolo difetto di verifica può sbloccare l'intero pool.
Lo spazio DeFi è stato generalmente sotto attacco, con attacchi su larga scala e su piccola scala che si sono protratti da aprile a maggio. Cryptoplitan ha segnalato exploit notevoli verificatisi a maggio, inclusi exploit contro Ink Finance e Renegade che hanno causato una perdita combinata di 349.000 dollari e un compromesso della chiave privata presso Syndicate Labs che ha portato alla perdita di 18,5 milioni di token SYND.
VRSC, il token nativo della rete Verus, era scambiato a circa 0,75 dollari con una capitalizzazione di mercato superiore a 60 milioni di dollari al momento dell'exploit, secondo i dati di CoinMarketCap.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Domande frequenti
Quanto è stato rubato nell'attacco al ponte Verus?
L'attaccante ha drenato 103,6 tBTC, 1.625 ETH e 147.000 USDC, convertendo poi le attività rubate in 5.402,4 ETH per un valore di circa 11,4 milioni di dollari.
Cosa ha causato l'exploit del ponte Verus?
Blockaid ha classificato la causa radice come una lacuna tra la verifica della prova sulla catena di origine e il vincolo del valore sulla catena di destinazione, la stessa classe di vulnerabilità che ha permesso gli attacchi ai ponti Wormhole e Nomad del 2022. Il ricercatore di sicurezza Cos ha valutato che l'attaccante abbia falsificato una prova Merkle superando i controlli di validazione del ponte.
Quanto hanno costato gli exploit dei ponti in 2026?
PeckShieldAlert ha riportato che otto principali exploit legati ai ponti fino a metà maggio 2026 hanno provocato perdite cumulative di 328,6 milioni di dollari nei protocolli cross-chain.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
