VerusEthereum Bridgeが再びハッキング被害、約754万ドル流出

VerusEthereum Bridgeが再度ハッキング被害を受けた。今回の攻撃は、過去に悪用された脆弱性と同種の欠陥が突かれた可能性が指摘されており、ブリッジの安全性に改めて疑問が広がっている。 ブロックチェーンセキュリティ企業Blockaidは7月23日、VerusEthereum Bridgeに対する新たな攻撃を検知したと発表した。Blockaidによると、攻撃者はブリッジのインポート（import）処理を悪用し、元チェーン側で対応する資産を預け入れることなく、Ethereum側で資金を払い出させたという。 オンチェーンデータでは、エクスプロイトはUTCの03:45に発生。約1,137 ETHのほか、tBTC、USD Coin（USDC）、Tether（USDT）、EURC、Maker（MKR）、Savings crvUSD（scrvUSD）が攻撃者管理のウォレットへ送金された。Etherscanの評価では、主要な流出額は当時約754万ドルに相当した。 Blockaidは、攻撃者が前回とは異なるウォレットとトランザクションを用いた一方で、標的は同じブリッジコントラクトであり、侵入経路（entry path）やバグのカテゴリも5月の侵害と同様である可能性が高いとみている。 5月の事案との共通点も目立つ。Blockaidは今回の資金が0xCFd0…2D54へ移されたことを追跡し、攻撃者が再びインポート処理を操作して、元チェーン側の裏付けなしにEthereum上で払い出しを発生させたと説明した。 5月には、偽造したクロスチェーンのインポートにより検証チェックを回避し、約1,158万ドルが流出したと報告されている。攻撃者はその後、Verusが和解条件を提示したことを受け、当時約850万ドル相当の4,052.4 ETHを返還。一方で、1,350 ETHは報奨金として保持したとされる。 今回と5月の攻撃は、同一コントラクト、同一アクセス経路、同種の欠陥に起因するとの見方があるが、技術的な全容はなお調査中で、詳細な説明は未公表となっている。 ブリッジを巡る攻撃はこの件に限らない。オンチェーントラッカーのLookonchainは、AFX Trade、Verus、BSquared Networkに関連する攻撃による損失が合計で約3,555万ドルに達したと推計した。 このうちAFXが最大で、USDCで約2,415万ドルの損失を計上。攻撃者は資金をEthereumへ移し、12,467 ETHへ交換したという。なお、Arbitrumのネイティブブリッジ自体は影響を受けておらず、問題はサードパーティプロトコルが管理するインフラに起因したとされる。BSquared Networkでも別途、約386万ドルの損失が報告された。 まとめると、VerusEthereum Bridgeは直近2カ月で2度目となる大規模流出に見舞われ、被害額は約754万ドル。手口は5月の約1,158万ドル規模の侵害と酷似しているものの、原因の特定はまだ完了していない。