Inde i Verus–Ethereum bridge-hacket på $11,6 mio.: En simpel valideringsfejl muliggjorde eksploit på tværs af kæder

De stjålne aktiver omfattede ifølge rapporter:

• 103,6 tBTC
• 1.625 ETH
• Cirka 147.000 USDC

Tilsammen beløb disse sig til omkring $11,58 millioner på tidspunktet for eksploitten. Angriberen konverterede derefter tokens til cirka 5.402 ETH og samlede dermed det stjålne i én type aktiv.

Sikkerhedsovervågningsfirmaer som Blockaid og PeckShield opdagede eksploitten, mens den stod på, og advarede brugere om ikke at interagere med broen.

Kernesårbarheden: Manglende tværkædebeløbsvalidering

Undersøgelser af sikkerhedsforskere peger på en fejl i broens tværkædeverifikationslogik. Begge sider af broen udførte visse kontroller, men ingen af dem sikrede, at et kritisk felt – beløbet overført på kildekæden – matchede udbetalingsbeløbet på Ethereum.

I praksis betød dette:

• Broen verificerede strukturen og ægtheden af den tværkædede besked.
• Men den bekræftede ikke, at indbetalingen på kildekæden faktisk dækkede hævningsbeløbet.

På grund af dette manglende valideringstrin kunne en angriber konstruere en besked, der opfyldte verifikationsprocessen, mens den anmodede om en langt større udbetaling. Efterforskere beskrev fejlen som et lille, men kritisk logikhul, der kunne rettes med få linjer Solidity-kode.

Vigtigt: Eksploitten involverede hverken stjålne nøgler, brudt kryptografi eller omgåelse af signaturer – det var udelukkende et logikvalideringsproblem i broens kode.

Hvor meget krypto blev stjålet – og returneret

Den indledende eksploit drænede omkring $11,58 millioner fra broens reserver.

Kort efter foreslog Verus-teamet et forlig: Hvis angriberen returnerede størstedelen af midlerne inden for en kort frist, kunne de beholde en del som dusør.

Det endelige resultat:

• 4.052,4 ETH returneret til Verus-teamet (omkring $8,5 millioner)
• 1.350 ETH beholdt af angriberen som dusør (omkring $2,8 millioner)

Det betyder, at cirka 75 % af de stjålne midler blev genvundet gennem forhandling.

Hvorfor DeFi-projekter nogle gange forhandler med hackere

Verus' reaktion afspejler et voksende mønster i decentraliseret finans. Når midler stjæles, men forbliver sporbare på kæden, forhandler protokoller nogle gange med angribere for at fremme delvis genopretning i stedet for at risikere at miste alt.

Denne tilgang er blevet set i flere højt profilerede hændelser og involverer ofte:

• Beskeder på kæden, der tilbyder en dusør
• Offentlig forhandling via sociale kanaler
• En deadline for returnering af midler

Sikkerhedsforskning viser, at disse forhandlinger kan forbedre genopretningsraterne betydeligt. En gennemgang af DeFi-hændelser rapporterede mere end 200 eksploitter i 2024, med omkring $220 millioner genvundet gennem white-hat-aktioner eller forhandlede returneringer, hvilket svarer til en genopretningsrate på cirka 15 %.

Hvorfor tværkædebroer forbliver højrisikomål

Verus-hændelsen understreger også, hvorfor broer fortsat er en af de mest udnyttede dele af krypto-infrastrukturen.

Broer skal verificere, at hændelser på én blockchain er gyldige, før de udfører transaktioner på en anden. Enhver svaghed i den verifikationslogik kan give angribere mulighed for at præge eller hæve aktiver uden bagvedliggende indskud.

Sikkerhedsdata viser omfanget af problemet: Senest i maj 2026 havde der allerede været otte brorelaterede hacks i alt på omkring $328,6 millioner i tab.

Kombinationen af store likviditetspuljer og kompleks tværkædeverifikation gør broer til særligt attraktive mål for angribere.

Den større lære

Verus–Ethereum-bro-eksploitten viser, hvordan selv en lille valideringsoversigt kan muliggøre et multi-million-dollar-angreb. En enkelt manglende kontrol tillod forfalskede tværkædebeskeder at udløse legitime udbetalinger.

Samtidig illustrerer løsningen en pragmatisk realitet i DeFi-sikkerhed: Når eksploitter opstår, bliver forhandlede genopretninger og dusøraftaler i stigende grad brugt som nødskadekontrolværktøjer, mens teams lapper sårbarheder og genopretter brugertillid.