Der 11,6‑Millionen‑Dollar‑Hack der Verus–Ethereum‑Bridge – und warum der Angreifer den Großteil des Geldes zurückgab
Am 18. Mai 2026 nutzte ein Angreifer eine fehlende Validierungsprüfung in der Verus–Ethereum‑Bridge aus und entwendete Kryptowährungen im Wert von etwa 11,58 Mio.
Am 18. Mai 2026 nutzte ein Angreifer eine fehlende Validierungsprüfung in der Verus–Ethereum‑Bridge aus und entwendete Kryptowährungen im Wert von etwa 11,58 Mio.
Die Schwachstelle bestand darin, dass die Bridge nicht überprüfte, ob der auf der Quell‑Blockchain eingezahlte Betrag mit der Auszahlung auf Ethereum übereinstimmte.
Nach Verhandlungen gab der Angreifer 4.052,4 ETH (ca. 8,5 Mio.
How did the May 18 Verus–Ethereum bridge exploit occur, how much crypto was stolen and later returned after the bounty deal, what vulnerabilCross‑chain bridges connect blockchains but also introduce complex verification risks that attackers increasingly exploit.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: How did the May 18 Verus–Ethereum bridge exploit occur, how much crypto was stolen and later returned after the bounty deal, what vulnerabil. Article summary: The May 18 Verus–Ethereum bridge exploit appears to have been a forged cross-chain import/transfer attack: the attacker submitted a malicious `submitImports()` payload on Ethereum that the bridge accepted as valid, letti. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "**A coordinated exploit drained approximately $11.5 million from the Verus-Ethereum bridge on May 18, with security firm Blockaid linking the attacker’s wallet to Tornado Cash.**." source context "Flagged Live: Attacker Flips $11.5M in Stolen Verus Assets to ETH Following Tornado Cash Setup" Reference image 2: vi
openai.com
Cross‑Chain‑Bridges verbinden unterschiedliche Blockchains miteinander – etwa um Token zwischen Netzwerken zu übertragen. Gleichzeitig bündeln sie große Liquiditätspools und gehören deshalb zu den attraktivsten Angriffszielen im DeFi‑Ökosystem.
Am 18. Mai 2026 wurde die Bridge zwischen der Verus‑Blockchain und Ethereum Opfer eines solchen Angriffs. Ein Exploit nutzte eine kleine, aber entscheidende Lücke in der Validierungslogik aus und ermöglichte es einem Angreifer, Kryptowährungen im Wert von rund 11,58 Millionen US‑Dollar abzuziehen.
Bemerkenswert: Der Vorfall endete nicht mit einem Totalverlust. Nach Verhandlungen mit dem Projektteam gab der Angreifer den Großteil der Mittel zurück und behielt einen Teil als „Bounty“.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Der 11,6‑Millionen‑Dollar‑Hack der Verus–Ethereum‑Bridge – und warum der Angreifer den Großteil des Geldes zurückgab“?
Am 18. Mai 2026 nutzte ein Angreifer eine fehlende Validierungsprüfung in der Verus–Ethereum‑Bridge aus und entwendete Kryptowährungen im Wert von etwa 11,58 Mio.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 18. Mai 2026 nutzte ein Angreifer eine fehlende Validierungsprüfung in der Verus–Ethereum‑Bridge aus und entwendete Kryptowährungen im Wert von etwa 11,58 Mio. Die Schwachstelle bestand darin, dass die Bridge nicht überprüfte, ob der auf der Quell‑Blockchain eingezahlte Betrag mit der Auszahlung auf Ethereum übereinstimmte.
Was soll ich als nächstes in der Praxis tun?
Nach Verhandlungen gab der Angreifer 4.052,4 ETH (ca. 8,5 Mio.
So lief der Angriff auf die Verus–Ethereum‑Bridge ab
Die betroffene Bridge ermöglicht Transfers von Vermögenswerten zwischen der Verus‑Blockchain und Ethereum. Der Angreifer nutzte eine Schwachstelle im Prozess, mit dem die Bridge Cross‑Chain‑Nachrichten überprüft.
Laut Sicherheitsanalysen wurde ein gefälschtes Cross‑Chain‑Import‑Payload eingereicht. Dieses manipulierte Datenpaket passierte die Prüfmechanismen des Ethereum‑Bridge‑Contracts und löste anschließend echte Auszahlungen an die Adresse des Angreifers aus.
Zu den entwendeten Vermögenswerten gehörten laut Blockchain‑Analysen:
103,6 tBTC
1.625 ETH
rund 147.000 USDC
Der Gesamtwert lag bei etwa 11,58 Millionen Dollar zum Zeitpunkt des Angriffs. Danach tauschte der Angreifer die Tokens in etwa 5.402 ETH um und bündelte so die Beute in einem einzigen Asset.
Sicherheitsfirmen wie Blockaid und PeckShield entdeckten den Angriff während seines Ablaufs und warnten Nutzer davor, weiter mit der Bridge zu interagieren.
Die technische Ursache: fehlende Betrags‑Validierung
Untersuchungen zeigen, dass das Problem in der Cross‑Chain‑Verifizierungslogik der Bridge lag. Zwar prüften sowohl die Verus‑ als auch die Ethereum‑Seite bestimmte Aspekte der Nachricht, doch ein kritisches Feld blieb unkontrolliert:
Niemand überprüfte, ob der auf der Quell‑Blockchain eingezahlte Betrag mit der Auszahlung auf Ethereum übereinstimmte.
Das führte zu einer gefährlichen Lücke:
Die Bridge bestätigte Struktur und Authentizität der Cross‑Chain‑Nachricht.
Sie prüfte jedoch nicht, ob tatsächlich genügend Vermögenswerte auf der Ausgangskette hinterlegt waren.
Ein Angreifer konnte daher eine formal gültige Nachricht erstellen, die eine deutlich höhere Auszahlung anforderte als ursprünglich eingezahlt worden war.
Sicherheitsforscher beschrieben die Schwachstelle als kleine Logiklücke, die mit wenigen Zeilen Solidity‑Code hätte verhindert werden können.
Wichtig ist auch, was nicht passiert ist: Der Angriff beruhte weder auf gestohlenen privaten Schlüsseln noch auf gebrochener Kryptografie oder einer Signaturumgehung. Es handelte sich ausschließlich um einen Fehler in der Programmlogik.
Wie viel Geld gestohlen wurde – und wie viel zurückkam
Der Angriff zog zunächst Vermögenswerte im Wert von etwa 11,58 Millionen Dollar aus der Bridge‑Liquidität.
Kurz darauf veröffentlichte das Verus‑Team ein Angebot: Wenn der Angreifer den Großteil der Mittel innerhalb kurzer Zeit zurückgibt, darf er einen Teil als Belohnung behalten.
Das Ergebnis der Vereinbarung:
4.052,4 ETH zurückgegeben (ca. 8,5 Mio. $)
1.350 ETH behalten als vereinbarte Bounty (ca. 2,8 Mio. $)
Damit wurden ungefähr 75 % der gestohlenen Gelder wiederhergestellt.
Warum DeFi‑Projekte mit Hackern verhandeln
Der Verus‑Fall ist kein Einzelfall. In der DeFi‑Branche hat sich eine pragmatische Strategie etabliert: Wenn gestohlene Mittel on‑chain nachvollziehbar sind, versuchen Projekte manchmal, direkt mit Angreifern zu verhandeln.
Typische Elemente solcher Deals sind:
öffentliche On‑Chain‑Nachrichten an die Angreiferadresse
ein zeitlich begrenztes Angebot für eine Bug‑Bounty
Verhandlungen über Social‑Media‑Kanäle
Diese Strategie kann die Rückgewinnungsquote erhöhen. Eine Analyse von DeFi‑Angriffen im Jahr 2024 zeigte, dass über 200 Exploits registriert wurden und etwa 220 Millionen Dollar durch White‑Hat‑Aktionen oder Verhandlungen zurückkehrten – rund 15 % der verlorenen Gelder.
Warum Cross‑Chain‑Bridges besonders anfällig sind
Der Vorfall unterstreicht ein strukturelles Problem der Branche: Bridges müssen Ereignisse auf einer Blockchain überprüfen und anschließend Transaktionen auf einer anderen ausführen.
Jede Schwäche in dieser Verifikationslogik kann dazu führen, dass:
Token ohne tatsächliche Einlage erzeugt werden oder
Reserven unberechtigt ausgezahlt werden.
Sicherheitsdaten zeigen, wie groß dieses Risiko inzwischen ist: Bis Mai 2026 wurden bereits acht Bridge‑Hacks mit zusammen rund 328,6 Millionen Dollar Verlust registriert.
Große Liquiditätspools und komplexe Validierungsmechanismen machen Cross‑Chain‑Bridges damit zu einem der attraktivsten Ziele für Angreifer im DeFi‑Ökosystem.
Die zentrale Lehre aus dem Vorfall
Der Hack der Verus–Ethereum‑Bridge zeigt, wie eine scheinbar kleine Programmierlücke einen Angriff in Millionenhöhe ermöglichen kann. Ein einzelner fehlender Validierungsschritt reichte aus, damit eine gefälschte Cross‑Chain‑Nachricht legitime Auszahlungen auslöste.
Gleichzeitig zeigt die Lösung des Falls eine neue Realität in DeFi‑Sicherheitskrisen: Verhandlungen und Bug‑Bounty‑Deals werden zunehmend als Notfallinstrument genutzt, um wenigstens einen Teil der verlorenen Gelder zurückzuholen, während Entwickler die Schwachstellen schließen und das Vertrauen der Nutzer wiederherstellen.
crypto.news
Verus Ethereum bridge drained of $11.5M in forged transfer exploit
