Повторный взлом моста Verus: хакеры снова вывели $7,54 млн через ту же уязвимость
23 июля кроссчейн-мост Verus во второй раз за два месяца подвергся целенаправленной атаке. На этот раз злоумышленник воспользовался уязвимостью в механизме импорта данных, что позволило ему инициировать необеспеченные выплаты на стороне Ethereum. В результате из протокола было выведено около $7,54 млн в активах, включая ETH, tBTC, USDC, USDT, EURC, MKR и scrvUSD.
Мой анализ показывает, что инцидент практически идентичен взлому, произошедшему 18 мая, когда хакеры похитили $11,5 млн. Критическая уязвимость, судя по всему, связана с тем же смарт-контрактом, той же точкой входа и тем же классом уязвимости. Это говорит о том, что команда Verus либо не полностью устранила первопричину проблемы, либо не учла все возможные векторы атаки при повторном развертывании контрактов.
Примечательно, что хакер использовал именно путь импорта — механизм, который должен был обеспечивать безопасную передачу данных между блокчейнами. Ошибка в валидации входящих сообщений позволила ему сфабриковать транзакции, которые система восприняла как легитимные, хотя фактического обеспечения на другой стороне моста не существовало.
Экспертное заключение
Повторная атака на Verus — тревожный сигнал для всего сегмента кроссчейн-решений. Если команда проекта не сможет радикально пересмотреть архитектуру безопасности, доверие к протоколу будет подорвано окончательно. В текущих условиях инвесторам стоит крайне осторожно относиться к активам, заблокированным в мостах, особенно если они уже демонстрировали уязвимости одного типа.