Мост VerusEthereum взломали во второй раз: похищено $7,54 млн

Мост VerusEthereum вновь оказался под атакой: по оценке Etherscan, в ходе свежего инцидента было выведено около $7,54 млн. Эксперты обращают внимание, что схема взлома, судя по признакам, повторяет уязвимость, задействованную ранее. Блокчейн-компания по безопасности Blockaid сообщила, что зафиксировала новую атаку 23 июля. По данным исследователей, злоумышленник использовал механизм import моста, чтобы инициировать выпуск средств на Ethereum без внесения эквивалентного обеспечения в исходной сети. Ончейн-данные указывают, что эксплуатация произошла в 03:45 UTC. В кошелёк, контролируемый атакующим, были переведены около 1 137 Ethereum [ETH], а также tBTC, USD Coin [USDC], Tether [USDT], EURC, Maker [MKR] и Savings crvUSD [scrvUSD]. Blockaid подчеркнула, что хотя применялись другой кошелёк и иная транзакция, целью оставался тот же контракт моста, тот же путь входа и, вероятно, та же категория ошибки, что и при инциденте в мае. Схожесть с майским взломом на $11,58 млн усиливает вопросы к тому, была ли уязвимость действительно устранена. Blockaid отследила движение средств до адреса 0xCFd0…2D54 и отметила, что атакующий снова манипулировал import-процессом, создавая выплаты в сети Ethereum без равнозначного покрытия на исходной цепочке. В мае, по сообщениям, злоумышленник обошёл проверку валидации с помощью поддельного кроссчейн-import и вывел около $11,58 млн. Позже он вернул 4 052,4 ETH, которые на тот момент оценивались примерно в $8,5 млн, после того как Verus предложила условия урегулирования. При этом 1 350 ETH были оставлены в качестве вознаграждения. Полная техническая версия причин текущего инцидента пока не опубликована. На фоне этого случая участники рынка отмечают серию атак на мосты и связанные инфраструктурные компоненты. Ончейн-трекер Lookonchain оценил, что инциденты, затронувшие AFX Trade, Verus и BSquared Network, суммарно привели к потерям примерно на $35,55 млн. Самый крупный ущерб, по оценке Lookonchain, пришёлся на AFX: около $24,15 млн в USDC. Средства были переведены в сеть Ethereum и обменяны на 12 467 ETH. При этом нативный мост Arbitrum не пострадал — проблема, как указывается, возникла в инфраструктуре, управляемой сторонним протоколом. BSquared Network, согласно сообщениям, потеряла ещё около $3,86 млн. Итог: VerusEthereum Bridge потерял примерно $7,54 млн во втором крупном взломе за два месяца. Атака напоминает майский инцидент на $11,58 млн, но точная первопричина пока остаётся неустановленной.