VerusEthereum Bridge ถูกแฮ็กซ้ำรอบสอง สูญเงิน 7.54 ล้านดอลลาร์

VerusEthereum Bridge ถูกโจมตีอีกครั้ง โดยรายงานระบุว่าครั้งนี้ผู้โจมตีอาศัยช่องโหว่ลักษณะเดียวกับที่เคยถูกใช้มาก่อน จนทำให้เกิดคำถามเรื่องความปลอดภัยของบริดจ์ดังกล่าว Blockaid บริษัทด้านความปลอดภัยบล็อกเชน ระบุว่าตรวจพบการโจมตี VerusEthereum Bridge เมื่อวันที่ 23 กรกฎาคม ข้อมูลบนเชนชี้ว่าเหตุการณ์เกิดขึ้นเวลา 03:45 UTC ผู้โจมตีฉวยช่องทางในกระบวนการ "import" ของบริดจ์ เพื่อปล่อยเงินออกไปได้โดยไม่ต้องฝากสินทรัพย์ที่สอดคล้องกันบนเชนต้นทาง จากข้อมูลธุรกรรม พบว่ามีการโอนประมาณ 1,137 Ethereum (ETH) รวมถึง tBTC, USD Coin (USDC), Tether (USDT), EURC, Maker (MKR) และ Savings crvUSD (scrvUSD) ไปยังกระเป๋าที่ผู้โจมตีควบคุม โดย Etherscan ประเมินมูลค่ากระแสเงินออกหลักในขณะนั้นไว้ราว 7.54 ล้านดอลลาร์ Blockaid ระบุว่าแม้ผู้โจมตีจะใช้กระเป๋าและธุรกรรมคนละชุดกับครั้งก่อน แต่ยังคงพุ่งเป้าไปที่สัญญาบริดจ์เดียวกัน เส้นทางการเข้าถึง (entry path) เดิม และมีแนวโน้มเป็นหมวดช่องโหว่แบบเดียวกับเหตุการณ์เดือนพฤษภาคม รูปแบบใกล้เคียงเหตุแฮ็กเดือนพฤษภาคมมูลค่า 11.58 ล้านดอลลาร์ ความเหมือนกับเหตุการณ์เดือนพฤษภาคมทำให้เกิดข้อสงสัยว่า ช่องโหว่เดิมถูกอุดอย่างครบถ้วนหรือไม่ โดย Blockaid ติดตามเงินที่เกี่ยวข้องกับเหตุล่าสุดไปยังที่อยู่ 0xCFd0…2D54 และระบุว่าผู้โจมตียังคงใช้การบิดเบือนกระบวนการ import เพื่อสร้างการจ่ายเงินบน Ethereum โดยไม่มีสินทรัพย์ค้ำหลังบนเชนต้นทาง ในเดือนพฤษภาคม ผู้โจมตีถูกระบุว่าสามารถข้ามขั้นตอนตรวจสอบ (validation check) ด้วยการปลอมการ import ข้ามเชน ทำให้เงินไหลออกไปราว 11.58 ล้านดอลลาร์ ต่อมาผู้โจมตีส่งคืน 4,052.4 ETH ซึ่งขณะนั้นมีมูลค่าประมาณ 8.5 ล้านดอลลาร์ หลัง Verus เสนอเงื่อนไขยุติข้อพิพาท โดยผู้โจมตีเก็บ 1,350 ETH ไว้เป็น "ค่าบั๊กบาวน์ตี้" แม้จะมีมุมมองว่าเหตุทั้งสองครั้งเกี่ยวข้องกับสัญญาเดียวกัน เส้นทางการเข้าถึงเดิม และประเภทข้อบกพร่องคล้ายกัน แต่คำอธิบายทางเทคนิคฉบับสมบูรณ์ยังอยู่ระหว่างรอการสรุป เหตุโจมตีบริดจ์หลายแห่งในวันเดียว ประเด็นที่น่ากังวลคือ วันนี้ไม่ได้มีเพียงเหตุการณ์เดียว โดย Lookonchain ประเมินว่าการโจมตีที่กระทบ AFX Trade, Verus และ BSquared Network ทำให้ความเสียหายรวมราว 35.55 ล้านดอลลาร์ AFX มีมูลค่าความเสียหายสูงสุด ราว 24.15 ล้านดอลลาร์ใน USDC ผู้โจมตีโอนเงินไปยัง Ethereum และแลกเป็น 12,467 ETH รายงานย้ำว่าไม่ได้กระทบบริดจ์หลักของ Arbitrum เนื่องจากต้นตอเกิดจากโครงสร้างพื้นฐานที่อยู่ภายใต้การดูแลของโปรโตคอลบุคคลที่สาม ขณะที่ BSquared Network รายงานว่าสูญเงินอีกราว 3.86 ล้านดอลลาร์ สรุป VerusEthereum Bridge สูญเงินราว 7.54 ล้านดอลลาร์จากการถูกโจมตีครั้งใหญ่เป็นครั้งที่สองภายในสองเดือน รูปแบบเหตุล่าสุดคล้ายการแฮ็กเดือนพฤษภาคมมูลค่า 11.58 ล้านดอลลาร์ แต่ผู้ตรวจสอบยังไม่สามารถชี้ชัดสาเหตุเชิงเทคนิคได้ในตอนนี้