- 攻撃者はVerus Ethereumブリッジから約754万ドルを盗み出し、5月に発生した1,158万ドルのハッキングで使用されたのと同じ脆弱性を悪用しました。
- この攻撃は検証チェックの欠如に起因しており、その結果、Ethereum上でリリースされる資産量がVerusチェーン上で裏付けられている量を超えてしまいました。
- 今回の再発する攻撃は、DeFi全体でのセキュリティ向上が進む中でも、未解決の脆弱性がクロスチェーンブリッジにとって依然として重大なリスクであることを浮き彫りにしています。
攻撃者は木曜日にVerus Ethereumブリッジから約 754万ドル を盗むことに成功しました。これは、このブリッジを介した不正利用が約2ヶ月の間に2回目となるものです。今年初めに発見された脆弱性は完全に修正されていないようです。これは、既知の脆弱性がクロスチェーンシステムに引き続き脅威となっていることを示しています。
クロスチェーンブリッジは、ユーザーがあるブロックチェーン上で資産をロックし、その結果として別のブロックチェーン上で同等のトークンを発行することを可能にします。しかし、ほとんどのブリッジには極めて大規模な共有流動性プールが含まれています。そのため、バリデーターのわずかなミスだけで数百万ドルもの損失が発生する可能性があります。ブロックチェーンサイバーセキュリティ企業のBlockaidによると、Verus攻撃でも同様のことが起こった可能性があり、2022年以降最大の暗号資産ブリッジハックの一部に影響を与えたバグと同じタイプのものであるようです。
同じコントラクトへの再発
Blockaidによると、攻撃者はブリッジのインポートメカニズムを悪用し、Verusブロックチェーン上の実際の価値と一致しない イーサリアム関連の支払い を活性化させました。ハッカーはETH、tBTC、USDC、USDT、EURC、MKR、scrvUSDなどの資産を盗み、その総額は約754万ドルに達しました。
攻撃は0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63にあるVerus Ethereum ブリッジプロトコルコントラクトを対象としており、資金はハッカーのウォレット0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54に追跡されました。
ブロックチェーンのエビデンスは Etherscan で容易にアクセス可能です。これにはブリッジコントラクト、攻撃者のウォレット、および不正取引が含まれています。
今回の事案は特に興味深いのは、2026年5月に発生した別の事案、すなわちVerusブリッジハックで1,158万ドルが流出した事件と非常に似ている点です。Blockaidは両方の攻撃が 同じコントラクト を同じインポートルートを通じて狙ったものであり、脆弱性が未だに修正されていないことを明らかにしました。
なぜ数セントのバグで数百万ドルが支払われるのか
セキュリティ企業HalbornとMerkle Scienceも、過去の攻撃を分析した結果に基づき、同様の結論に至っています。
「この脆弱性は暗号化の失敗ではなく、Verusチェーンでコミットされた値がEthereumで解放される値と一致していることを保証する検証が欠落していたことです。」 — Rob Behnke、Halborn
Halbornによると、わずか1セント程度の取引であっても、Ethereumスマートコントラクトがその取引を実行して数百万ドル相当の資産を解放する前に、すべてのブリッジ署名とMerkle証明要件を通過してしまう可能性があります。
Merkle Scienceによると、問題の原因はブリッジコード内のcheckCCEValues関数であることが特定されました。
「ブリッジは、ソース値が宛先の支払い額と一致していることを検証しなかったため、攻撃者は最小限の手数料のみを支払うことで数百万ドルを引き出すことができました。」 — Mir Jalal、Merkle Science
同社は、問題の原因が約10行のSolidity検証コードの欠落にあり、攻撃者が約10ドル相当のVRSC送金手数料を不正に引き出し、1,158万ドルの payout を得たと考えています。
両社は、ブリッジの暗号化と検証証明は正常に機能していたことを明確にしました。しかし、実際の問題は、Ethereum上で解放される価値がVerusチェーン上の資産によって裏付けられていることを契約が検証していなかった点にあります。Merkle Scienceは、同じ種類の検証失敗が2022年のWormholeおよびNomadブリッジの侵害でも原因だったと指摘しています。
ブリッジがより安全だと考えられていた市場にとって、これは何を意味するのか
Verusでのインシデントは、暗号通貨コミュニティにおける他の経路でブリッジ攻撃による被害が減少している時期に発生しました。
TRM Labsが収集したデータによると、暗号資産に対するサイバーセキュリティ攻撃は合計207件に上り、これは過去6ヶ月間で観測された中で最高水準です。一方、2025年の同期間における総損失額は23億ドルから9億7200万ドルへと減少し、ハッキングによる平均被害額も現在の期間では約21万9000ドルまで低下しました。
ブリッジのセキュリティもここ数年で強化されてきました。Immunefiからの報告書によると、DeFi損失のうちブリッジハッキングに起因する割合は2022年に73%でしたが、2025年にはわずか3%にまで低下しています。これは、市場における監査の質とブリッジ設計が大幅に改善されたことを示しています。
それでもなお、Verusでの侵害は、セクター全体の進展が既存の未解決の脆弱性を補うものではないことを示しています。5月の侵害後に初めて明らかになった問題が再び悪用され、「既知の脆弱性に対処することが、それらがもはやリスクにないという仮定よりもはるかに重要である」という認識を強めています。
Verus は木曜日のインシデントに関する公式の事後報告を発表していません。5 月のインシデントを受け、Merkle Science は不具合のある検証が解決され、別の監査人からの承認を得るまで、ブリッジの使用を控えるようユーザーに指示しました。プロジェクトがこの作業の完了を確認できるまで、ユーザーは注意を払い、ブリッジ送金からは離れるべきです。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
よくある質問
Verus ブリッジ攻撃で盗まれた金額はいくらですか？
Blockaid によると、損失は約 754 万ドルで、木曜日にブリッジの準備金から ETH、tBTC、USDC、USDT、EURC、MKR、scrvUSD が奪われました。
これは以前の Verus ハッキングと同じですか？
Blockaid によると、同じ契約、エントリーパス、バグクラスが指摘されているため、2026 年 5 月の Verus ブリッジインシデントに関連している可能性がありますが、これは異なる攻撃者による新しいトランザクションで、資金は別のウォレットへ送られました。
根本的な欠陥の原因は何でしたか？
Halborn と Merkle Science によると、ブリッジは署名と証明を正しく検証しましたが、Verus 側でコミットされた値が Ethereum 側で請求された支払い額と一致しているかを確認しませんでした。この検証不足は、Merkle Science によって checkCCEValues 関数内で特定されました。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
アシシュ・クマール
アシシュ・クマール氏は、8年間のニュースルーム経験を持つ暗号資産および金融ジャーナリストです。暗号資産市場、規制、DeFi、取引所エコシステムに関する最新動向を取材・執筆しています。Coingape、Todayq、Newsroompostなどで活動実績があります。IIMC（インド・マスコミュニケーション研究所）で英語ジャーナリズムのPGDPを取得しており、アーサー・ヘイズ氏、ヤット・シウ氏、オースティン・フェデラ氏など業界の主要人物へのインタビューも多数行っています。
