Secondo quanto riferito, lunedì il bridge Ethereum di Verus Protocol è stato oggetto di un attacco tramite un falso messaggio di trasferimento cross-chain che ha permesso a un hacker di trasferire in modo fraudolento almeno 11,58 milioni di dollari in criptovaluta.
La piattaforma di sicurezza on-chain Blockaid ha dichiarato lunedì in un post su X che il suo sistema di rilevamento ha identificato un exploit in corso sul bridge Verus-Ethereum e ha condiviso una transazione su Etherscan che mostrava un trasferimento di 1.625 Ether (ETH), 147.659 USDC (USDC) e 103,57 tBTC v2, per un valore di oltre 11,5 milioni di dollari.
Anche la società di sicurezza blockchain PeckShield ha definito il trasferimento un exploit, con i dati on-chain che mostrano che i fondi sono stati successivamente convertiti in Ether. Il portafoglio mostra un saldo di 5.402 Ether, per un valore di oltre 11,4 milioni di dollari, secondo Etherscan.
Cointelegraph ha contattato Verus per un commento. Al momento della pubblicazione, il protocollo non aveva confermato pubblicamente l'exploit.
Fonte: Blockaid
Nel primo trimestre del 2026, gli hacker del settore delle criptovalute hanno sottratto oltre 168,6 milioni di dollari in criptovalute da 34 protocolli di finanza decentralizzata. Il mese di aprile ha registrato i due attacchi hacker più ingenti dell'anno fino a quel momento: l'attacco al Drift Protocol da 280 milioni di dollari all'inizio del mese e quello a Kelp da 292 milioni di dollari.
Probabile causa della vulnerabilità: istruzioni di trasferimento fraudolente
Blockaid ha affermato che l'incidente del protocollo Verus ricorda l'exploit da 190 milioni di dollari del Nomad Bridge e quello da 325 milioni di dollari del Wormhole del 2022.
L'autore dell'attacco ha sfruttato il bridge Verus su Ethereum ingannando il protocollo facendogli credere che le istruzioni di trasferimento fossero autentiche, causando l'invio di fondi dalle riserve del bridge al portafoglio dell'autore dell'attacco, ha spiegato Blockaid.
“NON si tratta di un bypass ECDSA. NON si tratta di una compromissione della chiave notariale. NON è un bug di parsing/hash-binding. È una mancata convalida dell'importo di origine in checkCCEValues - ~10 righe di Solidity per risolvere il problema“, ha aggiunto.
Il fornitore di sicurezza blockchain ExVul è giunto a una conclusione simile e ha affermato che l'autore dell'attacco ha utilizzato un ”payload di importazione cross-chain contraffatto“ che ha superato il ”flusso di verifica del bridge“ e ha portato a ”tre trasferimenti collegati all'autore dell'attacco verso il wallet del drainer".
“Le prove di importazione cross-chain devono associare ogni effetto di trasferimento a valle ai dati del payload autenticati prima dell’esecuzione”, ha affermato il fornitore di sicurezza blockchain, aggiungendo che “i bridge dovrebbero aggiungere una rigorosa convalida dal payload all’esecuzione, una difesa approfondita intorno alla verifica delle prove e mettere in pausa i flussi in uscita quando vengono rilevate importazioni anomale”.
L’incidente segue la conferma da parte di THORChain, sabato scorso, di aver subito un exploit da 10 milioni di dollari.
