Un attaquant a drainé environ 7,54 millions de dollars du pont Verus-Ethereum jeudi, en exploitant le chemin d'import du pont pour déclencher des paiements non garantis par des actifs réels sur le réseau Verus.

Les retraits non autorisés ont siphonné ETH, tBTC, USDC, USDT, EURC, MKR et scrvUSD des réserves Ethereum du pont. La société de sécurité blockchain PeckShield a estimé séparément la perte à environ 7,5 millions de dollars.

L'exploitation a ciblé le mécanisme responsable de la libération des actifs sur Ethereum une fois qu'un transfert inter-chaîne est validé. Un import malveillant a franchi la route de vérification du pont et a ordonné à ses contrats de décaisser de vraies réserves sans aucun export ou dépôt correspondant du côté Verus.

Blockaid n'avait pas précisé si l'attaquant avait exécuté une seule transaction ou une série d'imports. Les échanges de tokens en aval et les soldes actuels des adresses de réception restaient à l'examen au moment du reportage.

Le pont Verus subit un deuxième drain majeur

L'attaque marque la deuxième perte majeure impliquant le pont Verus-Ethereum en un peu plus de deux mois, portant les pertes combinées des deux incidents à environ 19 millions de dollars.

Le 17 mai, une transaction a retiré 1 625,36 ETH, 103,56 tBTC et 147 658 USDC du pont, plaçant la perte initiale à environ 11,56 millions de dollars. L'attaquant a converti ces actifs en environ 5 402 ETH avant de restituer 4 052 ETH dans le cadre d'un accord de récupération et de conserver 1 350 ETH en guise de prime.

Dans la foulée, Verus a introduit des preuves de transaction plus strictes et préparé des contrats Ethereum de remplacement dans le cadre de son processus de restauration du pont. L'exploitation de juillet soulève de nouvelles questions quant à savoir si les derniers retraits ont atteint les contrats mis à niveau ou un autre composant du système d'import.

Ni Blockaid ni PeckShield n'ont identifié de compromission de clé privée ni de credentials de validateur volés dans leurs alertes initiales. Le chemin d'attaque connu s'est concentré sur la gestion par le pont des instructions de transfert importées.

Les exploitations de protocoles s'accélèrent dans la DeFi

Les ponts inter-chaînes, qui verrouillent des actifs sur une blockchain pour frapper ou libérer des tokens correspondants sur une autre, figurent régulièrement parmi les composants les plus ciblés de la finance décentralisée en raison des réserves regroupées qu'ils détiennent.

Le drain de Verus a suivi un retrait de 24,15 millions de dollars en USDC du pont Arbitrum d'AFX Trade, où une transaction non autorisée a contourné le processus d'approbation et de litige des validateurs du pont.

Quelques heures plus tard, un attaquant a vendu 8,59 millions de tokens B2 provenant de B² Network contre 5 409 BNB, réalisant environ 3,01 millions de dollars après glissement de prix.

La série d'attaques est survenue un jour après qu'une défaillance d'oracle chez 42DAO a permis à un attaquant d'extraire 915 000 dollars et a provoqué l'effondrement de Balance Coin de plus de 99 %.

Au moment de la publication, Verus n'avait émis aucune réponse publique, n'avait pas confirmé le statut opérationnel du pont ni annoncé de calendrier de récupération.