Ponte Verus para Ethereum volta a ser alvo e perde US$ 7,5 milhões em ataque que lembra exploração de maio

A Verus Ethereum Bridge sofreu um novo ataque em 23 de julho. Os invasores drenaram cerca de US$ 7,54 milhões do mesmo contrato de ponte explorado em maio. O que aconteceu A empresa de segurança Blockaid identificou a atividade maliciosa na rede Ethereum às 03:45 UTC de 23 de julho. Rastros on-chain indicam que uma transação interagiu com o contrato da ponte Verus (0x71518580f36feceffe0721f06ba4703218cd7f63) e transferiu aproximadamente 1.137 ETH, além de diversos tokens, para um endereço controlado pelo atacante (0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54). No momento do incidente, o Etherscan estimou o valor total das saídas em cerca de US$ 7,54 milhões. Entre os ativos movimentados estavam tBTC, USDC, USDT, EURC, MKR e scrvUSD. Segundo a Blockaid, o atacante teria abusado do caminho de "import" da ponte para acionar pagamentos no lado Ethereum sem que houvesse ativos correspondentes travados na cadeia de origem — o mesmo caminho de entrada e a mesma classe aparente de falha apontada no caso de maio. A nova exploração, ainda assim, ocorreu via uma transação diferente e com uma carteira diferente da usada no incidente anterior. Um relatório técnico completo de causa raiz ainda não foi publicado. Contexto e impacto Este é o segundo grande esvaziamento do mesmo bridge da Verus em cerca de dois meses. Em maio, a ponte perdeu aproximadamente US$ 11,58 milhões após pesquisadores afirmarem que uma lacuna de validação permitiu que uma importação cross-chain forjada passasse na verificação, liberando mais fundos na Ethereum do que os comprometidos na cadeia de origem. Após o episódio de maio, o explorador original devolveu 4.052,4 ETH (cerca de US$ 8,5 milhões à época) sob termos de acordo e manteve aproximadamente 1.350 ETH como bounty — cerca de 75% das posses remanescentes do explorador após a conversão. O ataque de julho à Verus ocorreu em meio a uma sequência de incidentes no mesmo dia. O monitor on-chain Lookonchain apontou perdas combinadas reportadas de aproximadamente US$ 35,55 milhões em três casos: AFX Trade (US$ 24,15 milhões), Verus (US$ 7,55 milhões) e B² Network (US$ 3,86 milhões). No caso da AFX, a perda envolveu USDC em infraestrutura de bridge operada por terceiros e depois foi convertida em 12.467 ETH; a Offchain Labs esclareceu que o incidente não afetou a ponte nativa do Arbitrum. Por que isso importa Bridges cross-chain seguem entre os alvos de maior risco no setor, pois precisam validar eventos entre blockchains distintas enquanto protegem um pool de ativos. Falhas em validação de mensagens, lógica de contratos ou controles de acesso podem permitir saques sem lastro, como os observados neste caso. A Blockaid descreveu o ataque de julho como "parece relacionado ao incidente anterior da Verus Ethereum Bridge em maio", citando o mesmo contrato, o mesmo caminho de entrada e a mesma classe de bug. Ainda não há confirmação de que a vulnerabilidade exata tenha sido reexplorada. Situação atual Até a publicação, as fontes confirmam que os fundos saíram da Verus bridge para a nova carteira do atacante, mas não está claro se algum ativo foi congelado, devolvido ou recuperado. Não foi divulgado cronograma de correção nem um plano atualizado de operação da ponte. Uma análise técnica mais aprofundada deverá indicar se a falha de maio permaneceu sem patch, se uma fraqueza relacionada foi usada ou se o invasor explorou uma rota diferente no processo de importação. As próximas movimentações do atacante (conversões, mixers ou saques) serão acompanhadas em busca de sinais de lavagem e de possíveis oportunidades de recuperação. Links principais Contrato da ponte-alvo: 0x71518580f36feceffe0721f06ba4703218cd7f63 Endereço do atacante: 0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54 Esta reportagem está em desenvolvimento e será atualizada conforme surgirem relatórios técnicos ou novidades sobre recuperação de fundos.