Verus桥再次被黑，损失754万美元，因为旧漏洞类别继续耗尽加密资产

一名攻击者于周四从Verus以太坊桥偷走了约$7.54 million。这是大约两个月内第二次利用该桥成功进行漏洞利用。似乎今年早些时候发现的漏洞从未完全修复。这表明一些已知漏洞继续威胁着跨链系统。

跨链桥允许用户在一个区块链上锁定资产，并在另一个区块链上发行等价的代币。然而，大多数桥包含非常大的共享流动性池。因此，验证者的一个小错误就可能导致数百万美元的损失。根据区块链网络安全公司Blockaid的说法，Verus攻击中似乎发生了同样的事情，相同类型的漏洞影响了自2022年以来一些最大的加密桥黑客事件。

对同一合约的重复打击

据Blockaid称，攻击者利用了桥的导入机制，以激活与Verus区块链上的实际价值不对应的以太坊相关付款。黑客能够窃取包括ETH、tBTC、USDC、USDT、EURC、MKR和scrvUSD在内的资产，总损失价值达到约754万美元。

攻击集中在Verus以太坊桥协议合约 0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63，而资金被追踪到黑客钱包0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54。

区块链证据在Etherscan上 readily accessible。这包括桥合约、攻击者钱包以及漏洞利用交易。

这一事件特别有趣，因为它与2026年5月发生的另一事件非常相似，即Verus桥黑客事件，当时1,158万美元被清空。Blockaid表示，两次攻击都针对同一合约 通过相同的导入路线，这意味着漏洞尚未修复。

为什么漏洞以几分钱支付数百万美元

安全公司Halborn和Merkle Science也基于他们对前一次攻击的分析得出了相同的结论。

“漏洞不是密码学失败，而是缺少验证，确保在Verus链上承诺的值与在以太坊上发布的值相匹配。” — Rob Behnke, Halborn

据Halborn称，即使价值约1美分的交易，在触发以太坊智能合约执行该交易并释放价值数百万美元的资产之前，仍会通过桥的所有签名和Merkle-proof要求。

据Merkle Science称，问题的原因被确定为桥代码中的checkCCEValues函数。

“桥未能验证源值是否与目的地付款匹配，允许攻击者仅花费最低费用即可提取数百万美元。” — Mir Jalal, Merkle Science

该公司认为，问题源于大约10行缺失的Solidity验证，这使得攻击者能够将价值约10美元的VRSC交易费用转换为1,158万美元的付款。

两家公司明确表示，桥的密码学和验证证明功能正常。然而，实际问题在于合约没有验证在以太坊上发布的值是否得到Verus链上资产的支持。Merkle Science指出，2022年Wormhole和Nomad桥漏洞利用也归因于相同类型的验证失败。

这对认为桥更安全的市场意味着什么

Verus事件发生时，加密社区的其他途径看到的桥攻击损失较少。

根据TRM Labs收集的数据，加密领域总共发生了207起网络安全攻击，这是任何六个月内看到的最高数字。相反，总损失从2025年同期的23亿美元下降到9.72亿美元，中位数黑客金额下降到当前时期的约21.9万美元。

桥的安全性在过去几年也有所提高。正如Immunefi报告所示，2022年与桥黑客相关的DeFi损失比例为73%，但在2025年，这一数字已降至仅3%。这表明市场上的审计质量和桥设计有了显著改善。

尽管如此，Verus的泄露表明，整个领域的进步并不能弥补现有的未解决漏洞。一个在5月漏洞后首次揭示的问题似乎再次被利用，推动了处理已知漏洞比假设它们不再处于风险中更为重要的叙事。

Verus 尚未就周四发生的事件发布官方事后分析报告。在五月事件之后，Merkle Science 指示用户在修复有缺陷的验证并获得独立审计师的批准之前，暂停使用该桥接服务。用户应保持谨慎，避免进行桥接转账，直到项目方确认相关工作已完成。