Verus-Ethereum-Bridge verliert trotz "NoCode"-Versprechen 11,6 Mio. US-Dollar in einer Transaktion

Bei einem Angriff auf die Verus–Ethereum-Bridge hat ein Hacker am 17. Mai 2026 in einem einzigen Outbound-Transfer Vermögenswerte im Wert von rund 11,58 Mio. US-Dollar abgezogen. Betroffen ist damit ausgerechnet ein Cross-Chain-Projekt, das offensiv damit warb, gegen Smart-Contract-Exploits immun zu sein. Die Auffälligkeit wurde in Echtzeit von der Blockchain-Sicherheitsfirma Blockaid gemeldet und später vom On-Chain-Intel-Account @coinxtreme_en auf X aufgegriffen. On-Chain-Daten zeigen, dass die Wallet 0x65Cb8b128Bf6e690761044CCECA422bb239C25F9 eine einzelne Auszahlung erhielt, die aus folgenden Posten bestand: rund 1.625 ETH (ca. 3,43 Mio. US-Dollar), etwa 103,57 tBTC (ca. 7,96 Mio. US-Dollar) sowie 147.000 USDC (rund 147.000 US-Dollar). Den Spuren in der Blockchain zufolge wurden die meisten entwendeten Assets kurz darauf über Uniswap in ETH getauscht. Verus hatte seine Bridge als System positioniert, das auf "Protokollregeln statt Custom-Code" setzt. Vermarktet wurde eine Architektur mit kryptografischen Beweisen, Notary-Witnesses und Validierung auf Protokollebene anstelle individueller Smart-Contract-Logik – mit dem Ziel, die Angriffsfläche zu reduzieren. Der Vorfall verdeutlicht die Kehrseite dieses Narrativs: Auch ohne "ausnutzbaren Custom-Code" kann eine Bridge in der Praxis verwundbar bleiben. Zusätzliche Aufmerksamkeit zieht das Timing auf sich. Zwei Tage vor dem Abfluss veröffentlichte Verus ein als dringend und verpflichtend gekennzeichnetes Notfall-Update (Version 1.2.14-2) und verwies dabei auf eine nicht näher benannte Schwachstelle. Laut @coinxtreme_en erhielt die Angreifer-Wallet etwa 11–13 Stunden nach dieser Ankündigung Zuflüsse über Tornado Cash – ein Muster, das zu einem Akteur passen könnte, der früher Kenntnis von der Lücke hatte und das Update-Fenster nutzte, um die Angriffs-Infrastruktur zu positionieren. Solche Konstellationen sind aus DeFi bekannt: Notfall-Patches können die Existenz einer Schwachstelle signalisieren, ohne deren Umfang offenzulegen, und damit versierten Akteuren ein enges Zeitfenster verschaffen, bevor Fixes vollständig validiert sind. Der Vorfall unterstreicht zudem die strukturellen Risiken im Bridge-Sektor. Cross-Chain-Bridges gelten seit 2021 als am häufigsten angegriffene Schicht im DeFi-Ökosystem und stehen für einen überproportionalen Anteil der Verluste. Der Fall Verus zeigt die Lücke zwischen Designannahmen und operativer Realität: Auch elegante Protokollmodelle benötigen formale Verifikation, unabhängige Audits und die operative Disziplin, Funktionen bei glaubwürdigen Bedrohungen zu pausieren oder einzuschränken. Marktreaktion: Ether zeigte nach dem Wochenende weitere Schwäche. Zum Zeitpunkt der Erstellung lag ETH rund 10% unter dem Niveau der Vorwoche und etwa 3% niedriger in den vergangenen 24 Stunden. Titelbild: von ChatGPT generiert. ETHUSD-Chart: TradingView.