Nuevo golpe al puente de Verus en Ethereum: roban 7,5 millones de dólares en un ataque similar al de mayo

El puente de Verus en Ethereum volvió a ser atacado el 23 de julio. Los asaltantes drenaron aproximadamente 7,54 millones de dólares desde el mismo contrato del puente que ya había sido explotado en mayo. Qué ocurrió La firma de seguridad blockchain Blockaid detectó actividad maliciosa en Ethereum a las 03:45 UTC del 23 de julio. Los registros on-chain muestran que una transacción interactuó con el contrato del puente de Verus (0x71518580f36feceffe0721f06ba4703218cd7f63) y movió cerca de 1.137 ETH, además de varios tokens, hacia una dirección controlada por el atacante (0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54). En ese momento, Etherscan valoró las salidas en torno a 7,54 millones de dólares. Entre los activos transferidos figuran tBTC, USDC, USDT, EURC, MKR y scrvUSD. Según Blockaid, el atacante habría abusado de la ruta de importación del puente para forzar pagos en el lado de Ethereum sin respaldo de activos equivalentes en la cadena de origen, el mismo punto de entrada y la misma clase de fallo que se señaló en el incidente de mayo. Blockaid indica que este nuevo exploit se ejecutó mediante una transacción distinta y desde una cartera de atacante diferente a la utilizada en mayo. Aún no se ha publicado un informe técnico completo sobre la causa raíz. Contexto e impacto Se trata del segundo vaciado relevante del mismo puente de Verus en aproximadamente dos meses. En mayo, el puente perdió unos 11,58 millones de dólares después de que investigadores afirmaran que una brecha de validación permitió que una importación cross-chain falsificada superara la verificación, liberando en Ethereum más fondos de los comprometidos en la cadena de origen. Tras el incidente de mayo, el explotador original devolvió 4.052,4 ETH (unos 8,5 millones de dólares entonces) bajo términos de acuerdo y retuvo alrededor de 1.350 ETH como "bounty", aproximadamente el 75% de sus tenencias restantes tras la conversión. El ataque de julio se produjo en una jornada con varios incidentes. El rastreador on-chain Lookonchain reportó pérdidas combinadas de aproximadamente 35,55 millones de dólares en tres casos: AFX Trade (24,15 millones), Verus (7,55 millones) y B² Network (3,86 millones). En el caso de AFX, la pérdida afectó a USDC en infraestructura de puentes operada por un tercero y posteriormente se convirtió en 12.467 ETH; Offchain Labs precisó que no impactó al puente nativo de Arbitrum. Por qué importa Los puentes entre cadenas siguen siendo un foco de alto riesgo: deben validar eventos entre blockchains distintas y, al mismo tiempo, custodiar activos agregados. Fallos en la validación de mensajes, la lógica de contratos o los controles de acceso pueden habilitar pagos sin respaldo, como los observados en este episodio. Blockaid describió el ataque de julio como "parece relacionado con el incidente anterior del puente de Verus en Ethereum en mayo", citando el mismo contrato, el mismo punto de entrada y la misma clase de bug, aunque no ha confirmado que se haya reexplotado exactamente la misma vulnerabilidad. Situación actual Al cierre de esta información, las fuentes confirman que los fondos salieron del puente de Verus hacia la nueva cartera del atacante. No hay claridad sobre si algún activo robado ha sido congelado, devuelto o recuperado. Tampoco se ha publicado un calendario de remediación ni un plan actualizado de operación del puente. Se espera más análisis técnico para determinar si el fallo de mayo quedó sin parchear, si se utilizó una debilidad relacionada o si el atacante encontró una vía distinta dentro del proceso de importación. Se monitorizarán los movimientos posteriores del atacante (conversiones, uso de mezcladores o retiradas) en busca de indicios de blanqueo o de oportunidades de recuperación. Enlaces clave Contrato del puente objetivo: Dirección del atacante: Esta noticia está en desarrollo y se actualizará a medida que se publiquen informes técnicos o novedades sobre la recuperación.