Мост Verus в сети Ethereum снова взломан: похищено около $7,5 млн — похоже на повтор майского эксплойта

Мост Verus Ethereum вновь подвергся атаке 23 июля: злоумышленники вывели около $7,54 млн из того же контрактного адреса, который уже был скомпрометирован в мае. Что произошло Компания по блокчейн-безопасности Blockaid зафиксировала подозрительную активность в сети Ethereum в 03:45 UTC 23 июля. По данным ончейн-трассировки, транзакция взаимодействовала с контрактом моста Verus (0x71518580f36feceffe0721f06ba4703218cd7f63) и перевела примерно 1 137 ETH, а также ряд токенов на адрес, контролируемый атакующим (0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54). На момент инцидента Etherscan оценивал общий отток примерно в $7,54 млн. Среди выведенных активов — tBTC, USDC, USDT, EURC, MKR и scrvUSD. В Blockaid заявили, что атакующий злоупотребил "import"-механизмом моста, добившись выплат на стороне Ethereum без соответствующего обеспечения активами в исходной сети. По описанию это тот же входной путь и тот же класс ошибки, которые упоминались в майском инциденте. При этом текущая атака была совершена другой транзакцией и с другого кошелька, чем в мае. Полный технический разбор первопричины пока не опубликован. Контекст и последствия Это уже второй крупный вывод средств из того же моста Verus примерно за два месяца. В мае мост потерял около $11,58 млн: исследователи указывали на разрыв в валидации, из-за которого поддельный кроссчейн-"import" проходил проверку и высвобождал в Ethereum больше средств, чем было заблокировано в исходной сети. После майского эпизода первоначальный эксплуатер вернул 4 052,4 ETH (около $8,5 млн на тот момент) в рамках условий урегулирования и оставил примерно 1 350 ETH как вознаграждение — около 75% его оставшихся активов после конвертации. Июльский взлом Verus произошел на фоне серии атак в тот же день. Ончейн-трекер Lookonchain сообщил о суммарных заявленных потерях около $35,55 млн по трем инцидентам: AFX Trade ($24,15 млн), Verus ($7,55 млн) и B² Network ($3,86 млн). Потери AFX были связаны с USDC на мостовой инфраструктуре, управляемой сторонней организацией, и позже были конвертированы в 12 467 ETH; Offchain Labs уточнила, что это не затронуло нативный мост Arbitrum. Почему это важно Кроссчейн-мосты остаются высокорисковым сегментом: им нужно подтверждать события в разных блокчейнах и одновременно защищать пул ликвидности. Сбои в проверке сообщений, логике смарт-контракта или контроле доступа способны приводить к необеспеченным выплатам, как в этом случае. Blockaid охарактеризовала июльскую атаку как "похоже, связанную с предыдущим инцидентом Verus Ethereum Bridge в мае", отметив тот же контракт, тот же входной путь и тот же класс ошибки, но не подтвердила, что была повторно использована точь-в-точь та же уязвимость. Текущий статус На момент публикации подтверждено, что средства покинули мост Verus и поступили на новый адрес атакующего. Неясно, были ли какие-либо активы заморожены, возвращены или восстановлены. План устранения последствий, сроки ремедиации или обновленный режим работы моста не раскрывались. Для понимания причин потребуется дополнительный технический анализ: была ли майская проблема не исправлена, использована ли близкая по природе слабость или атакующий нашел иной маршрут через процесс "import". Дальнейшие действия злоумышленника (конвертации, миксеры, вывод на биржи) будут отслеживаться на предмет отмывания средств и потенциальных возможностей для возврата. Ключевые ссылки Контракт моста: Адрес атакующего: История развивается; обновления будут добавляться по мере появления технических отчетов или новостей о возврате средств.