Мост Verus снова взломан на $7,54M, поскольку старый класс уязвимостей продолжает выводить криптовалюту

Атакующему удалось украсть примерно $7,54 млн из моста Verus Ethereum в четверг. Это второй случай в течение примерно двух месяцев, когда успешная эксплуатация была проведена с использованием этого моста. Похоже, уязвимость, обнаруженная ранее в этом году, так и не была полностью исправлена. Это показывает, как некоторые известные уязвимости продолжают угрожать кросс-чейн системам.

Кросс-чейн мосты позволяют пользователям блокировать активы в одной блокчейн-сети и, следовательно, выпускать эквивалентные токены в другой блокчейн. Однако большинство мостов содержат чрезвычайно большие общие пулы ликвидности. Поэтому одна небольшая ошибка валидаторов может привести к потерям на миллионы долларов. Согласно компании по кибербезопасности блокчейна Blockaid, то же самое, похоже, произошло во время атаки на Verus, при этом тот же тип ошибки затронул некоторые из крупнейших взломов крипто-мостов с 2022 года.

Повторный удар по тому же контракту

Согласно данным Blockaid, злоумышленник эксплуатировал механизм импорта моста для активации выплат, связанных с Ethereum, которые не соответствовали фактическим значениям в блокчейне Verus. Хакеру удалось украсть активы, включая ETH, tBTC, USDC, USDT, EURC, MKR и scrvUSD, при этом общие потери достигли около 7,54 млн долларов в стоимостном выражении.

Атака была направлена на контракт протокола моста Verus Ethereum по адресу 0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63, в то время как деньги были отслежены до кошелька хакера 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54.

Блокчейн-доказательства легко доступны на Etherscan. Включая контракт моста, кошелек атакующего, а также транзакцию эксплуатации.

Инцидент особенно интересен тем, что он очень похож на другой инцидент, произошедший в мае 2026 года, взлом моста Verus, где было выведено 11,58 млн долларов. Blockaid заявила, что обе атаки были направлены на тот же контракт через тот же маршрут импорта, что означает, что уязвимость не была исправлена.

Почему ошибка приносит миллионы на копейки

Компании по безопасности Halborn и Merkle Science также пришли к такому же выводу на основе своих результатов после анализа предыдущей атаки.

«Уязвимость не была криптографическим сбоем, а отсутствием проверки, обеспечивающей соответствие значения, зафиксированного в сети Verus, значению, выпущенному в Ethereum». — Роб Бэнк, Halborn

По данным Halborn, транзакция стоимостью даже около 1 цента все равно пройдет все подписи моста и требования Merkle-proof до того, как смарт-контракт Ethereum будет запущен для выполнения этой транзакции и выпуска активов на миллионы долларов.

По данным Merkle Science, причиной проблемы была определена функция checkCCEValues в коде моста.

«Мост не проверил, что исходное значение совпадает с целевым выплатой, что позволило злоумышленнику потратить лишь минимальные комиссии, выводя миллионы». — Мир Джалал, Merkle Science

Компания полагала, что проблема возникла из-за примерно 10 строк отсутствующей проверки Solidity, что позволило злоумышленнику конвертировать около 10 долларов комиссий за транзакции VRSC в выплату в размере 11,58 миллиона долларов.

Две компании четко дали понять, что криптография моста и доказательство проверки функционировали должным образом. Однако реальная проблема заключалась в том, что контракт не проверял, что значение, выпускаемое в Ethereum, поддерживается активами в сети Verus. Merkle Science отметила, что тот же тип сбоя проверки также стал причиной взломов мостов Wormhole и Nomad в 2022 году.

Что это означает для рынка, который считал мосты более безопасными

Инцидент с Verus происходит в то время, когда другие направления в сообществе криптовалюты наблюдали меньшие потери от атак на мосты.

Согласно данным, собранным TRM Labs, всего произошло 207 кибератак на криптопроекты, что является самым высоким показателем за любой шестимесячный период. Напротив, общие потери снизились с 2,3 млрд долларов до 972 млн долларов в тот же период в 2025 году, а медианная сумма взлома снизилась примерно до 219 000 долларов в текущем периоде.

Безопасность мостов также была усилена за последние несколько лет. Как указано в отчете Immunefi, доля потерь DeFi, связанных со взломами мостов, в 2022 году составляла 73%, но в 2025 году этот показатель снизился всего до 3%. Это указывает на то, что качество аудитов и дизайна мостов на рынке значительно улучшилось.

Тем не менее, взлом в Verus показывает, что достижения в секторе в целом не компенсируют существующие нерешенные уязвимости. Проблема, которая впервые была выявлена после майского инцидента, похоже, была использована снова, что поддерживает нарратив о том, что устранение известных уязвимостей гораздо важнее, чем предположение, что они больше не представляют риска.

Verus не опубликовала официальный постмортем по инциденту в четверг. После инцидента в мае Merkle Science порекомендовала пользователям воздержаться от использования моста до тех пор, пока неисправная проверка не будет устранена и не получит одобрение от независимого аудитора. Пользователям следует проявлять осторожность и избегать переводов через мосты до тех пор, пока проект не сможет подтвердить, что эта работа завершена.