Ein Angreifer hat am Donnerstag etwa $7.54 Millionen aus der Verus-Ethereum-Bridge gestohlen. Es war der zweite erfolgreiche Exploit der Bridge innerhalb von rund zwei Monaten. Der Vorfall deutet darauf hin, dass eine Anfang dieses Jahres identifizierte Schwachstelle möglicherweise nicht vollständig behoben wurde, und unterstreicht, wie bekannte Fehler weiterhin Cross-Chain-Infrastruktur bedrohen können.

Verus ist eine Layer-1-Blockchain, die über ihren Bridge-Vertrag mit Ethereum verbunden ist und Nutzern die Übertragung von Vermögenswerten zwischen beiden Netzwerken ermöglicht. Cross-Chain-Bridges erlauben es allgemein, Vermögenswerte auf einer Blockchain zu sperren und entsprechende Token auf einer anderen Blockchain auszugeben. Da viele Bridges große gemeinsame Liquiditätspools halten, kann bereits ein eng begrenzter Validierungsfehler zu Verlusten in Millionenhöhe führen. Das Blockchain-Sicherheitsunternehmen Blockaid erklärte, der Verus-Vorfall scheine dieselbe Fehlerklasse zu betreffen, die seit 2022 einige der größten Krypto-Bridge-Exploits ermöglicht hat.

Wiederholter Exploit gegen denselben Vertrag

Laut Blockaid missbrauchte der Angreifer den Importmechanismus der Bridge, um Auszahlungen auf Ethereum-Seite auszulösen, die nicht mit den zugrunde liegenden Werten auf der Verus-Blockchain übereinstimmten. Zu den gestohlenen Vermögenswerten gehörten ETH, tBTC, USDC, USDT, EURC, MKR und scrvUSD; die Gesamtverluste werden auf etwa $7.54 Millionen geschätzt.

Blockaid veröffentlichte Details zu dem Vorfall auf X: https://x.com/blockaid_/status/2080143099561496896, https://x.com/blockaid_/status/2080143275659333793 und https://x.com/blockaid_/status/2080143511173611704.

Der Angriff richtete sich gegen den Protokollvertrag der Verus-Ethereum-Bridge unter 0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63. Die Gelder wurden zur Wallet des Angreifers unter 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54 zurückverfolgt.

Die On-Chain-Belege sind auf Etherscan verfügbar, einschließlich der Exploit-Transaktion:

Der Vorfall ähnelt stark dem Hack der Verus-Bridge im Mai 2026, bei dem $11.58 Millionen abgezogen wurden. Blockaid erklärte, beide Angriffe hätten denselben Vertrag über dieselbe Importroute ins Visier genommen, was darauf hindeutet, dass die zugrunde liegende Schwachstelle nicht behoben worden war.

Warum ein kleiner Eingabewert eine große Auszahlung auslösen konnte

Die Sicherheitsunternehmen Halborn und Merkle Science kamen nach der Analyse des früheren Angriffs zu ähnlichen Schlussfolgerungen.

„The vulnerability was not a cryptographic failure, but a missing validation ensuring that the value committed on the Verus chain matched the value released on Ethereum.“ — Rob Behnke, Halborn

Halborn erklärte, dass selbst eine Transaktion im Wert von etwa 1 Cent die Signatur- und Merkle-Proof-Anforderungen der Bridge passieren konnte, bevor der Ethereum-Smart-Contract ausgelöst wurde, um die Transaktion auszuführen und Vermögenswerte im Wert von Millionen von Dollar freizugeben. Halborns Erklärung zum Hack der Verus-Ethereum-Bridge im Mai 2026 ist verfügbar unter

Merkle Science führte das Problem auf die Funktion checkCCEValues im Code der Bridge zurück.

„The bridge failed to validate that the source value matched the destination payout, allowing an attacker to spend only minimal fees while withdrawing millions.“ — Mir Jalal, Merkle Science

Merkle Science erklärte, das Problem scheine auf etwa 10 fehlende Zeilen Solidity-Validierung zurückzugehen. Dadurch konnte der Angreifer im früheren Vorfall Transaktionsgebühren in VRSC im Wert von etwa $10 in eine Auszahlung von $11.58 Millionen umwandeln. Die Analyse ist verfügbar unter

Beide Unternehmen betonten, dass die Kryptografie und die Proof-Validierung der Bridge wie vorgesehen funktionierten. Der Fehler bestand darin, dass der Vertrag nicht überprüfte, ob der auf Ethereum freigegebene Wert durch Vermögenswerte auf der Verus-Chain gedeckt war. Merkle Science wies zudem darauf hin, dass dieselbe Kategorie von Validierungsfehlern für die Bridge-Exploits von Wormhole und Nomad im Jahr 2022 verantwortlich war, die zu Verlusten von etwa $320 Millionen beziehungsweise $190 Millionen führten.

Bridge-Verluste sind gesunken, doch bekannte Schwachstellen bleiben ein Risiko

Der Verus-Exploit ereignet sich in einer Phase, in der die Verluste durch Bridge-Angriffe im gesamten Kryptosektor zurückgegangen sind.

Laut TRM Labs gab es im relevanten Sechsmonatszeitraum 207 Cybersicherheitsangriffe auf Krypto, die höchste Zahl, die jemals für einen Sechsmonatszeitraum verzeichnet wurde. Die Gesamtverluste sanken jedoch im Vergleich zum selben Zeitraum im Jahr 2025 von $2.3 Milliarden auf $972 Millionen, während die mediane Hack-Größe auf rund $219,000 zurückging. TRM Labs veröffentlichte die Ergebnisse unter

Auch die Sicherheit von Bridges hat sich in den vergangenen Jahren verbessert. Immunefi berichtete, dass Bridge-Hacks im Jahr 2022 für 73% der DeFi-Verluste verantwortlich waren, im Jahr 2025 jedoch nur noch für 3%. Dies deutet auf Verbesserungen bei Audits und Bridge-Designs im gesamten Markt hin. Der Immunefi-Bericht ist verfügbar unter

Dennoch zeigt der Verus-Vorfall, dass branchenweite Fortschritte die Gefahr ungelöster Schwachstellen nicht beseitigen. Ein Fehler, der erstmals nach dem Exploit im Mai hervorgehoben wurde, scheint erneut ausgenutzt worden zu sein. Dies unterstreicht, wie wichtig es ist, bekannte Mängel zu beheben, statt anzunehmen, dass sie keine Bedrohung mehr darstellen.

Verus hat keinen offiziellen Post-Mortem-Bericht zu dem Vorfall vom Donnerstag veröffentlicht. Daher bleibt unklar, ob die Bridge pausiert wurde oder ob ein Vertrags-Upgrade zur Behebung der Validierungslücke vorbereitet wird. Nach dem Vorfall im Mai riet Merkle Science Nutzern, die Bridge nicht zu verwenden, bis die fehlerhafte Validierung behoben und von einem unabhängigen Prüfer genehmigt wurde. Nutzer wurden aufgefordert, Bridge-Transfers zu vermeiden, bis das Projekt bestätigt, dass die Behebungsarbeiten abgeschlossen sind.