Le bridge VerusEthereum de nouveau piraté : 7,54 M$ dérobés

Le bridge VerusEthereum a subi une nouvelle attaque. Selon la société de sécurité blockchain Blockaid, un exploit a été détecté le 23 juillet et aurait réutilisé une faiblesse déjà observée lors d'un incident précédent. Blockaid indique que l'attaquant a abusé du mécanisme d'"import" du bridge afin de débloquer des fonds sans déposer d'actifs équivalents sur la chaîne source. Les données on-chain situent l'exploit à 03:45 UTC. Environ 1 137 Ethereum (ETH), ainsi que du tBTC, USD Coin (USDC), Tether (USDT), EURC, Maker (MKR) et Savings crvUSD (scrvUSD), ont été transférés vers un portefeuille contrôlé par l'attaquant. D'après Etherscan, la valeur des principaux flux sortants atteignait environ 7,54 millions de dollars au moment des faits. Blockaid précise que, malgré l'usage d'un autre portefeuille et d'une autre transaction, l'attaque visait le même contrat de bridge, le même point d'entrée et vraisemblablement la même catégorie de bug que lors de la faille de mai. L'attaque rappelle en effet le piratage de mai, estimé à 11,58 millions de dollars. Blockaid a relié les fonds les plus récents à l'adresse 0xCFd0…2D54 et affirme que l'attaquant a de nouveau manipulé le processus d'import pour générer des paiements sur Ethereum sans collatéral correspondant sur la chaîne source. En mai, l'attaquant aurait contourné un contrôle de validation via un import cross-chain falsifié. Il a ensuite restitué 4 052,4 ETH, alors valorisés à environ 8,5 millions de dollars, après que Verus a proposé des conditions de règlement, conservant 1 350 ETH à titre de prime. Les enquêteurs estiment que les deux incidents impliquent le même contrat, la même voie d'accès et un type de faille similaire, mais une explication technique complète n'a pas encore été publiée. Cette attaque s'inscrit dans une série d'incidents signalés le même jour. Le tracker on-chain Lookonchain évalue les pertes cumulées liées à des attaques touchant AFX Trade, Verus et BSquared Network à environ 35,55 millions de dollars. AFX enregistrerait la perte la plus importante, autour de 24,15 millions de dollars en USDC, fonds ensuite transférés sur Ethereum puis échangés contre 12 467 ETH. L'incident n'a pas affecté le bridge natif d'Arbitrum, l'origine se situant dans une infrastructure opérée par un protocole tiers. BSquared Network aurait, de son côté, perdu environ 3,86 millions de dollars. En résumé, le bridge VerusEthereum aurait perdu près de 7,54 millions de dollars lors d'un deuxième exploit majeur en deux mois. Les éléments disponibles pointent vers une attaque proche de celle de mai (11,58 millions de dollars), mais la cause exacte reste à confirmer.