Näin Verus–Ethereum-sillan 11,6 miljoonan dollarin hakkerointi toteutettiin – ja miksi hyökkääjä palautti suurimman osan varoista

Varastettujen varojen kerrotaan sisältäneen:

• 103,6 tBTC
• 1 625 ETH
• Noin 147 000 USDC

Nämä olivat yhteensä noin 11,58 miljoonaa dollaria hyökkäyksen aikaan. Hyökkääjä vaihtoi tokenit noin 5 402 ETH:ksi keskittäen varastetut varat yhteen omaisuuserään.

Turvallisuusvalvontayritykset kuten Blockaid ja PeckShield havaitsivat hyökkäyksen sen tapahtuessa ja varoittivat käyttäjiä olemasta vuorovaikutuksessa sillan kanssa.

Keskeinen haavoittuvuus: Puuttuva ketjujenvälinen määrän validointi

Turvallisuustutkijoiden selvitykset osoittavat vian sillan ketjujenvälisessä vahvistuslogiikassa. Sillan molemmat puolet suorittivat tiettyjä tarkistuksia, mutta kumpikaan puoli ei varmistanut, että kriittinen kenttä – lähdeketjun siirretty määrä vastasi maksun määrää Ethereumissa.

Käytännössä tämä tarkoitti:

• Silta vahvisti ketjujenvälisen viestin rakenteen ja aitouden.
• Mutta se ei varmistanut, että lähdeketjun talletus todella kattoi nostomäärän.

Tämän puuttuvan validointivaiheen vuoksi hyökkääjä pystyi rakentamaan viestin, joka täytti vahvistusprosessin vaatimukset samalla kun se pyysi paljon suurempaa maksua. Tutkijat kuvailivat virhettä pieneksi mutta kriittiseksi logiikka-aukoksi, joka voitiin korjata vain muutamalla Solidity-koodirivillä.

On tärkeää huomata, että hyökkäys ei liittynyt varastettuihin avaimiin, rikottuun kryptografiaan tai allekirjoitusten ohittamiseen – se oli puhtaasti logiikan validointiongelma sillan koodissa.

Kuinka paljon kryptoa varastettiin – ja palautettiin

Alkuperäinen hyökkäys tyhjensi siltavarannoista noin 11,58 miljoonaa dollaria.

Pian tämän jälkeen Verus-tiimi ehdotti sovintoa: jos hyökkääjä palauttaisi suurimman osan varoista lyhyen ajan kuluessa, he saisivat pitää osan palkkiona.

Lopputulos:

• 4 052,4 ETH:ta palautettiin Verus-tiimille (noin 8,5 miljoonaa dollaria)
• 1 350 ETH:ta jäi hyökkääjälle palkkiona (noin 2,8 miljoonaa dollaria)

Tämä tarkoitti, että noin 75 % varastetuista varoista saatiin takaisin neuvottelujen kautta.

Miksi DeFi-projektit joskus neuvottelevat hakkereiden kanssa

Verusin toiminta heijastaa kasvavaa käytäntöä hajautetussa rahoituksessa. Kun varoja varastetaan, mutta ne ovat jäljitettävissä ketjussa, protokollat neuvottelevat joskus hyökkääjien kanssa kannustaakseen osittaiseen palautukseen sen sijaan, että ne riskeeraisivat kaiken menettämisen.

Tämä lähestymistapa on nähty useissa merkittävissä tapauksissa ja sisältää usein:

• Palkkiotarjouksia ketjussa lähetetyillä viesteillä
• Julkisia neuvotteluja sosiaalisen median kanavissa
• Määräajan varojen palauttamiselle

Turvallisuustutkimus osoittaa, että nämä neuvottelut voivat parantaa palautusprosentteja merkittävästi. Yksi DeFi-tapahtumien katsaus raportoi yli 200 hyökkäystä vuonna 2024, joissa noin 220 miljoonaa dollaria palautettiin white-hat-toimien tai neuvottelujen kautta, mikä edustaa noin 15 %:n palautusastetta.

Miksi ketjujenväliset sillat ovat edelleen korkean riskin kohteita

Verus-tapaus korostaa myös, miksi sillat ovat edelleen yksi eniten hyväksikäytetyistä kryptoinfrastruktuurin osista.

Siltojen on varmistettava, että tapahtumat yhdellä lohkoketjulla ovat päteviä ennen kuin ne toteuttavat tapahtumia toisella. Kaikki heikkoudet tässä vahvistuslogiikassa voivat antaa hyökkääjille mahdollisuuden luoda tai nostaa varoja ilman vastaavia talletuksia.

Turvallisuustiedot osoittavat ongelman laajuuden: toukokuuhun 2026 mennessä oli jo tapahtunut kahdeksan siltoihin liittyvää hakkerointia, joiden tappiot olivat yhteensä noin 328,6 miljoonaa dollaria.

Suurten likviditeettivarantojen ja monimutkaisen ketjujenvälisen vahvistuksen yhdistelmä tekee silloista erityisen houkuttelevia kohteita hyökkääjille.

Suurempi opetus

Verus–Ethereum-sillan hyökkäys osoittaa, kuinka jopa pieni validointivirhe voi mahdollistaa monimiljoonaisen hyökkäyksen. Yksi puuttuva tarkistus salli väärennettyjen ketjujenvälisten viestien laukaista laillisia maksuja.

Samalla tapauksen ratkaisu heijastaa DeFi-turvallisuuden pragmaattista todellisuutta: kun hyökkäyksiä tapahtuu, neuvotellut palautukset ja palkkiotarjoukset ovat yhä useammin käytössä hätätilanteen vahingonhallintatyökaluina, kun tiimit korjaavat haavoittuvuuksia ja palauttavat käyttäjien luottamusta.