Angriff auf Verus-Ethereum-Bridge: Hacker erbeuten Kryptowährungen im Wert von 11,5 Mio. US-Dollar

Beim Verus-DeFi-Protokoll ist es zu einem schweren Sicherheitsvorfall rund um die Ethereum-Bridge gekommen. Mehrere Blockchain-Sicherheitsfirmen beziffern den Abfluss digitaler Vermögenswerte auf rund 11,58 Mio. US-Dollar. Als erstes machte die Onchain-Sicherheitsplattform Blockaid spät am Sonntag auf verdächtige Aktivitäten aufmerksam. Demnach steht eine Angreifer-Wallet mit dem Präfix "0x5aBb" im Zusammenhang mit dem Vorfall; die entwendeten Mittel seien anschließend auf eine weitere Adresse mit dem Suffix "C25F9" verschoben worden. PeckShield nannte später konkrete Beträge und sprach von einem Verlust von etwa 103,6 tBTC, 1.625 ETH und 147.000 USDC über die VerusEthereum-Bridge. Laut PeckShield tauschte der Angreifer die Beute rasch in rund 5.402 ETH um, was auf Basis aktueller Marktpreise etwa 11,4 Mio. US-Dollar entspricht. Zudem sei die Angreifer-Wallet kurz vor dem Exploit über Tornado Cash vorfinanziert worden: Rund 14 Stunden vor dem Angriff gingen demnach 1 ETH ein. Die Sicherheitsfirma GoPlus vermutet als Ursache eine komplexe Schwachstelle in der Transaktionsvalidierung der Bridge. Demnach könnte der Angreifer zunächst eine Transaktion mit geringem Wert an den Bridge-Contract gesendet und anschließend eine Funktion ausgelöst haben, die eine Batch-Übertragung von Reserve-Assets direkt an die Drainer-Wallet ermöglichte. GoPlus hält unter anderem Fehler bei der Cross-Chain-Message-Validierung, Risiken durch Signaturfälschung, Umgehungen der Auszahlungslogik oder Schwächen bei der Zugriffskontrolle für mögliche Angriffspfade. Solche Schwachstellen zählen im DeFi-Sektor zu häufigen Angriffszielen, insbesondere bei Cross-Chain-Bridges, die große Mengen gebundener Liquidität verwalten. Verus wurde 2018 gestartet und positioniert sich als datenschutzorientiertes Blockchain-Netzwerk. Es nutzt einen hybriden "proof-of-power"-Konsens, der Elemente von Proof-of-Work und Proof-of-Stake kombiniert. Die Ethereum-Bridge wurde im Oktober 2023 eingeführt und soll den Transfer sowie die Konvertierung von Assets zwischen dem Verus-Ökosystem und Ethereum ermöglichen.