攻撃者は木曜日、Verusイーサリアムブリッジのインポートパスを悪用し、Verusネットワーク上の実際の資産に裏付けられない払い出しを引き起こすことで、約754万ドルを流出させた。

この不正な引き出しにより、ブリッジのイーサリアム準備金からETH、tBTC、USDC、USDT、EURC、MKR、scrvUSDが吸い出された。ブロックチェーンセキュリティ企業のPeckShieldは別途推定で損失を約750万ドルとしている。

今回の攻撃は、クロスチェーン転送の検証後にイーサリアム上で資産を放出するメカニズムが標的となった。悪意あるインポートがブリッジの検証ルートを通過し、Verus側での対応するエクスポートや預金なしに実際の準備金を支出するようコントラクトに指示した。

Blockaidは、攻撃者が単一のトランザクションを実行したのか、一連のインポートを行ったのかについて開示していなかった。下流のトークンスワップおよび受信アドレスの現在の残高は、報道時点でも引き続き調査中であった。

Verusブリッジが2度目の重大な流出被害

今回の攻撃は、Verusイーサリアムブリッジに関わるわずか2ヶ月余りでの2度目の重大な損失であり、両事件を合わせた損失総額は約1900万ドルに達する。

5月17日、あるトランザクションによりブリッジから1,625.36 ETH、103.56 tBTC、147,658 USDCが除去され、当初の損失は約1156万ドルと見積もられた。攻撃者はこれらの資産を約5,402 ETHに変換した後、復旧協定に基づいて4,052 ETHを返還し、1,350 ETHをバウンティとして保持した。

その後、Verusはブリッジ復旧プロセスの一環として、より厳格なトランザクションプルーフを導入し、代替のイーサリアムコントラクトを準備した。7月の今回の攻撃は、最新の引き出しがアップグレード済みのコントラクトに到達したのか、それともインポートシステムの別のコンポーネントなのかという新たな疑問を提起している。

BlockaidもPeckShieldも、初期の警告において秘密鍵の侵害や盗まれたバリデーター認証情報を特定しなかった。判明している攻撃経路は、ブリッジのインポートされた転送指示の処理に集中していた。

DeFi全体でプロトコル攻撃が加速

一方のブロックチェーンで資産をロックし、もう一方で対応するトークンをミントまたはリリースするクロスチェーンブリッジは、プールされた準備金を保持しているため、分散型金融において最も標的とされやすいコンポーネントの一つに繰り返し挙げられている。

Verusの流出は、AFX TradeのArbitrumブリッジからの2415万ドルのUSDC引き出しに続くものであり、そこでは不正なトランザクションがブリッジのバリデーター承認および異議申立プロセスをバイパスした。

その数時間後、攻撃者はB² Networkから奪った859万B2トークンを5,409 BNBで売却し、スリッページ後の実現利益は約301万ドルであった。

一連の攻撃は、42DAOでのオラクル障害により攻撃者が91万5000ドルを抽出し、Balance Coinが99%以上暴落した事件の翌日に発生した。

掲載時点で、Verusは公開声明の発表、ブリッジの稼働状況の確認、復旧スケジュールの公表を行っていなかった。