23 июля 2026 года межсетевой мост Verus, соединяющий экосистему Verus с Ethereum, подвергся повторной атаке. По данным аналитиков, злоумышленник вывел из контракта моста около $7,54 млн в различных активах, используя ту же самую уязвимость, что и при майском инциденте, когда было похищено $11,58 млн.
Согласно Blockaid, атака произошла около 03:45 UTC. Хакер задействовал функцию submitImports для инициации необеспеченных выплат со стороны Ethereum-контракта моста по адресу 0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63. Среди украденных активов оказались ETH, tBTC v2, USDC, USDT, EURC, MKR, scrvUSD, а также DAI на сумму около 220 357 долларов. Злоумышленник оперативно конвертировал почти все средства в ETH, аккумулировав примерно 3 916 ETH (порядка $7,52 млн), после чего перевел их через миксер Tornado Cash небольшими траншами.
Эксперты Halborn и Merkle Science пояснили, что проблема заключалась в отсутствии проверки соответствия между объемом средств, зафиксированных в сети Verus, и суммой, высвобождаемой в Ethereum. Как отметил Роб Бенке из Halborn, «уязвимость не была криптографической — не хватало валидации, гарантирующей, что зафиксированная на Verus стоимость совпадает с выплатой на Ethereum». Схожую оценку дали в SlowMist, указав на слабость логики проверки доказательств: система верифицировала хэш транзакции, но не подтверждала блокировку или сжигание достаточного количества средств на стороне Verus.
Примечательно, что майский инцидент завершился частичным возвратом: после переговоров хакер вернул около $8,5 млн (4 052 ETH) в рамках программы вознаграждения за обнаружение уязвимостей. Однако на момент написания материала команда Verus не публиковала официального заявления о новом взломе, не объявляла о планах по заморозке активов или компенсации пользователям. Отсутствие реакции вызывает дополнительную обеспокоенность на фоне участившихся атак на кросс-чейн мосты — достаточно вспомнить недавние потери AFX Bridge ($24,15 млн в USDC) и NIGHT Bridge ($515 млн).
