Ponte Verus hackeada novamente por US$ 7,54M enquanto uma classe antiga de bug continua drenando cripto

Um atacante conseguiu roubar aproximadamente $7.54 milhões da ponte Ethereum Verus na quinta-feira. Esta é a segunda vez em cerca de dois meses que uma exploração foi realizada com sucesso usando esta ponte. Parece que a vulnerabilidade descoberta no início deste ano nunca foi completamente corrigida. Isso mostra como algumas vulnerabilidades conhecidas continuam a ameaçar sistemas cross-chain.

Pontes cross-chain permitem que os usuários bloqueiem ativos em uma blockchain e, consequentemente, emitam tokens equivalentes em outra blockchain. No entanto, a maioria das pontes contém pools de liquidez compartilhada extremamente grandes. Portanto, apenas um pequeno erro dos validadores pode causar perdas de milhões de dólares. De acordo com a empresa de segurança cibernética blockchain Blockaid, a mesma coisa parece ter ocorrido no ataque à Verus, com o mesmo tipo de bug afetando alguns dos maiores hacks de pontas de cripto desde 2022.

Um novo golpe no mesmo contrato

De acordo com a Blockaid, o assaltante explorou o mecanismo de importações da ponte para ativar pagamentos relacionados ao Ethereum que não correspondiam aos valores reais na blockchain Verus. O hacker conseguiu roubar ativos incluindo ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD, com perdas totais que chegaram a cerca de US$ 7,54 milhões em termos de valor.

O ataque foi focado no contrato do protocolo da ponte Ethereum Verus em 0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63, enquanto o dinheiro foi rastreado até a carteira do hacker 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54.

As evidências da blockchain estão prontamente acessíveis em Etherscan. Isso inclui o contrato da ponte, a carteira do atacante, bem como a transação de exploração.

O incidente é particularmente interessante porque é muito semelhante a outro incidente que ocorreu em maio de 2026, o hack da ponte Verus onde $11.58 milhões foram drenados. A Blockaid afirmou que ambos os ataques visaram o mesmo contrato através da mesma rota de importação, o que significa que a vulnerabilidade não foi corrigida.

Por que o bug paga milhões por centavos

As empresas de segurança Halborn e Merkle Science também chegaram à mesma conclusão com base em suas descobertas após analisar o ataque anterior.

“A vulnerabilidade não foi uma falha criptográfica, mas uma validação ausente garantindo que o valor comprometido na chain Verus correspondesse ao valor liberado no Ethereum.” — Rob Behnke, Halborn

De acordo com a Halborn, uma transação valendo até cerca de 1 cent ainda passaria por todas as assinaturas da ponte e requisitos de prova de Merkle antes que o contrato inteligente do Ethereum fosse acionado para executar essa transação e liberar os ativos valendo milhões de dólares.

De acordo com a Merkle Science, a causa do problema foi determinada como sendo a função checkCCEValues no código da ponte.

“A ponte falhou em validar que o valor de origem correspondia ao pagamento de destino, permitindo que um atacante gastasse apenas taxas mínimas enquanto retirava milhões.” — Mir Jalal, Merkle Science

A empresa acreditava que o problema decorria de aproximadamente 10 linhas de validação Solidity ausentes, o que permitiu ao atacante converter cerca de US$ 10 em taxas de transação VRSC em um pagamento de US$ 11,58 milhões.

As duas empresas deixaram claro que a criptografia da ponte e a prova de validação estavam funcionando como deveriam. A questão real, no entanto, era que o contrato não verificava que o valor sendo liberado no Ethereum era suportado pelos ativos na chain Verus. A Merkle Science apontou que o mesmo tipo de falha de validação também foi responsável pelas explorações das pontes Wormhole e Nomad em 2022.

O que isso significa para um mercado que achava que as pontes eram mais seguras

O incidente da Verus ocorre em um momento em que outras vias na comunidade de criptomoedas viram menos perdas de ataques de pontes.

De acordo com os dados coletados por TRM Labs, houve um total de 207 ataques cibernéticos em cripto, o mais alto visto em qualquer período de seis meses. Por outro lado, as perdas totais caíram de US$ 2,3 bilhões para US$ 972 milhões durante o mesmo período em 2025, e o valor mediano dos hacks diminuiu para cerca de US$ 219.000 no período atual.

A segurança das pontes também foi reforçada nos últimos anos. Como indicado em um relatório da Immunefi, a porcentagem de perdas de DeFi relacionadas a hacks de pontes em 2022 era de 73%, mas em 2025 essa figura caiu para apenas 3%. Isso indica que a qualidade das auditorias e dos projetos de pontes no mercado melhorou significativamente.

Mesmo assim, a violação na Verus revela que os avanços no setor como um todo não compensam as vulnerabilidades existentes não abordadas. Um problema que foi revelado pela primeira vez após a exploração de maio parece ter sido explorado novamente, impulsionando a narrativa de que lidar com vulnerabilidades conhecidas é muito mais essencial do que assumir que elas não estão mais em risco.

A Verus não publicou um post-mortem oficial sobre o incidente de quinta-feira. Na sequência do incidente de maio, a Merkle Science instruiu os utilizadores a absterem-se de utilizar a ponte até que a validação defeituosa fosse resolvida e recebesse a aprovação de um auditor independente. Os utilizadores devem ter precaução e evitar transferências pela ponte até que o projeto confirme que este trabalho foi concluído.