एक बार यह संदेश वेरिफिकेशन से पास हो गया तो स्मार्ट कॉन्ट्रैक्ट ने ट्रांजैक्शन प्रोसेस कर दी और फंड सीधे हमलावर के वॉलेट में ट्रांसफर हो गए।

रिपोर्ट्स के अनुसार चोरी की गई संपत्तियों में शामिल थे:

• 103.6 tBTC
• 1,625 ETH
• लगभग 147,000 USDC

कुल मिलाकर यह राशि उस समय करीब $11.58 मिलियन थी। बाद में हमलावर ने इन टोकनों को स्वैप करके लगभग 5,402 ETH में बदल दिया ताकि चोरी की गई रकम को एक ही एसेट में समेटा जा सके।

ब्लॉकचेन सुरक्षा कंपनियों Blockaid और PeckShield ने हमला चलते समय ही इसे पहचान लिया और यूज़र्स को ब्रिज से इंटरैक्ट करने से बचने की चेतावनी दी।

असली कमजोरी: क्रॉस‑चेन अमाउंट वैलिडेशन का अभाव

जांच में पता चला कि समस्या ब्रिज की क्रॉस‑चेन वेरिफिकेशन लॉजिक में थी। दोनों ब्लॉकचेन साइड पर कुछ जांचें मौजूद थीं, लेकिन एक अहम चीज़ की पुष्टि नहीं की जा रही थी—क्या सोर्स‑चेन पर जमा की गई राशि वास्तव में Ethereum पर दिए गए भुगतान के बराबर है।

इसका मतलब यह हुआ:

• सिस्टम क्रॉस‑चेन मैसेज की संरचना और प्रूफ को सही मान रहा था।
• लेकिन यह जांच नहीं रहा था कि वास्तव में उतनी राशि जमा भी की गई थी या नहीं।

इस छोटी‑सी लॉजिक कमी के कारण हमलावर ऐसा मैसेज बना सकता था जो तकनीकी रूप से वैध दिखे लेकिन उससे कहीं अधिक भुगतान की मांग करे। शोधकर्ताओं के अनुसार इस बग को ठीक करने के लिए Solidity कोड में केवल कुछ लाइनों का बदलाव ही पर्याप्त होता।

महत्वपूर्ण बात यह है कि इस हमले में प्राइवेट की चोरी, क्रिप्टोग्राफी टूटना या सिग्नेचर बायपास जैसी कोई समस्या शामिल नहीं थी—यह पूरी तरह स्मार्ट कॉन्ट्रैक्ट लॉजिक की वैलिडेशन गलती थी।

कितना पैसा चोरी हुआ और कितना वापस आया

हमले में शुरुआत में लगभग $11.58 मिलियन की क्रिप्टो संपत्ति निकाली गई।

कुछ समय बाद Verus टीम ने हमलावर को एक प्रस्ताव दिया: यदि वह ज्यादातर फंड वापस कर देता है तो उसे एक हिस्सा “बाउंटी” के रूप में रखने दिया जाएगा।

अंतिम समझौता इस प्रकार रहा:

• 4,052.4 ETH वापस लौटाए गए — लगभग $8.5 मिलियन
• 1,350 ETH हमलावर ने रखे — लगभग $2.8 मिलियन

इस तरह करीब 75% चोरी की गई राशि वापस मिल गई।

DeFi प्रोजेक्ट्स हैकर्स से बातचीत क्यों करते हैं

DeFi में यह रणनीति अब काफी आम हो रही है। क्योंकि ब्लॉकचेन पर अधिकांश ट्रांजैक्शन सार्वजनिक होते हैं, चोरी की गई रकम को ट्रैक करना संभव रहता है। ऐसे में कई प्रोजेक्ट सीधे हमलावर से बातचीत करके आंशिक रिकवरी की कोशिश करते हैं।

आमतौर पर इसमें शामिल होता है:

• ऑन‑चेन संदेश के जरिए बाउंटी ऑफर
• सोशल मीडिया या सार्वजनिक चैनलों पर बातचीत
• फंड लौटाने के लिए समय सीमा

सुरक्षा रिपोर्टों के अनुसार 2024 में 200 से अधिक DeFi एक्सप्लॉइट्स हुए, जिनमें से लगभग $220 मिलियन राशि व्हाइट‑हैट एक्शन या बातचीत के जरिए वापस मिली—करीब 15% रिकवरी रेट।

क्रॉस‑चेन ब्रिज क्यों बने रहते हैं बड़े लक्ष्य

Verus की घटना यह भी दिखाती है कि क्रॉस‑चेन ब्रिज सुरक्षा के लिहाज़ से इतने जोखिमभरे क्यों हैं। ब्रिज को एक ब्लॉकचेन पर हुई घटना की वैधता दूसरी ब्लॉकचेन पर साबित करनी पड़ती है। अगर इस प्रक्रिया में कहीं भी लॉजिक की कमी हो, तो हमलावर बिना असली जमा किए भी टोकन निकाल सकता है।

डेटा के अनुसार मई 2026 तक केवल ब्रिज‑संबंधित आठ हैक में लगभग $328.6 मिलियन का नुकसान दर्ज किया जा चुका था।

बड़ी सीख

Verus–Ethereum ब्रिज हमला दिखाता है कि कभी‑कभी कोड की एक छोटी‑सी वैलिडेशन गलती भी करोड़ों डॉलर के नुकसान का कारण बन सकती है। एक साधारण चेक की कमी ने फर्जी क्रॉस‑चेन मैसेज को वैध बना दिया और उससे वास्तविक भुगतान ट्रिगर हो गया।

साथ ही यह घटना DeFi की एक व्यावहारिक वास्तविकता भी दिखाती है: जब हमला हो जाता है, तो कई बार बातचीत और बाउंटी डील ही सबसे तेज़ तरीका बन जाती है जिससे कुछ फंड वापस मिल सकें और प्रोटोकॉल यूज़र्स का भरोसा फिर से बनाया जा सके।

एक बार यह संदेश वेरिफिकेशन से पास हो गया तो स्मार्ट कॉन्ट्रैक्ट ने ट्रांजैक्शन प्रोसेस कर दी और फंड सीधे हमलावर के वॉलेट में ट्रांसफर हो गए।

रिपोर्ट्स के अनुसार चोरी की गई संपत्तियों में शामिल थे:

• 103.6 tBTC
• 1,625 ETH
• लगभग 147,000 USDC

कुल मिलाकर यह राशि उस समय करीब $11.58 मिलियन थी। बाद में हमलावर ने इन टोकनों को स्वैप करके लगभग 5,402 ETH में बदल दिया ताकि चोरी की गई रकम को एक ही एसेट में समेटा जा सके।

ब्लॉकचेन सुरक्षा कंपनियों Blockaid और PeckShield ने हमला चलते समय ही इसे पहचान लिया और यूज़र्स को ब्रिज से इंटरैक्ट करने से बचने की चेतावनी दी।

असली कमजोरी: क्रॉस‑चेन अमाउंट वैलिडेशन का अभाव

जांच में पता चला कि समस्या ब्रिज की क्रॉस‑चेन वेरिफिकेशन लॉजिक में थी। दोनों ब्लॉकचेन साइड पर कुछ जांचें मौजूद थीं, लेकिन एक अहम चीज़ की पुष्टि नहीं की जा रही थी—क्या सोर्स‑चेन पर जमा की गई राशि वास्तव में Ethereum पर दिए गए भुगतान के बराबर है।

इसका मतलब यह हुआ:

• सिस्टम क्रॉस‑चेन मैसेज की संरचना और प्रूफ को सही मान रहा था।
• लेकिन यह जांच नहीं रहा था कि वास्तव में उतनी राशि जमा भी की गई थी या नहीं।

इस छोटी‑सी लॉजिक कमी के कारण हमलावर ऐसा मैसेज बना सकता था जो तकनीकी रूप से वैध दिखे लेकिन उससे कहीं अधिक भुगतान की मांग करे। शोधकर्ताओं के अनुसार इस बग को ठीक करने के लिए Solidity कोड में केवल कुछ लाइनों का बदलाव ही पर्याप्त होता।

महत्वपूर्ण बात यह है कि इस हमले में प्राइवेट की चोरी, क्रिप्टोग्राफी टूटना या सिग्नेचर बायपास जैसी कोई समस्या शामिल नहीं थी—यह पूरी तरह स्मार्ट कॉन्ट्रैक्ट लॉजिक की वैलिडेशन गलती थी।

कितना पैसा चोरी हुआ और कितना वापस आया

हमले में शुरुआत में लगभग $11.58 मिलियन की क्रिप्टो संपत्ति निकाली गई।

कुछ समय बाद Verus टीम ने हमलावर को एक प्रस्ताव दिया: यदि वह ज्यादातर फंड वापस कर देता है तो उसे एक हिस्सा “बाउंटी” के रूप में रखने दिया जाएगा।

अंतिम समझौता इस प्रकार रहा:

• 4,052.4 ETH वापस लौटाए गए — लगभग $8.5 मिलियन
• 1,350 ETH हमलावर ने रखे — लगभग $2.8 मिलियन

इस तरह करीब 75% चोरी की गई राशि वापस मिल गई।

DeFi प्रोजेक्ट्स हैकर्स से बातचीत क्यों करते हैं

DeFi में यह रणनीति अब काफी आम हो रही है। क्योंकि ब्लॉकचेन पर अधिकांश ट्रांजैक्शन सार्वजनिक होते हैं, चोरी की गई रकम को ट्रैक करना संभव रहता है। ऐसे में कई प्रोजेक्ट सीधे हमलावर से बातचीत करके आंशिक रिकवरी की कोशिश करते हैं।

आमतौर पर इसमें शामिल होता है:

• ऑन‑चेन संदेश के जरिए बाउंटी ऑफर
• सोशल मीडिया या सार्वजनिक चैनलों पर बातचीत
• फंड लौटाने के लिए समय सीमा

सुरक्षा रिपोर्टों के अनुसार 2024 में 200 से अधिक DeFi एक्सप्लॉइट्स हुए, जिनमें से लगभग $220 मिलियन राशि व्हाइट‑हैट एक्शन या बातचीत के जरिए वापस मिली—करीब 15% रिकवरी रेट।

क्रॉस‑चेन ब्रिज क्यों बने रहते हैं बड़े लक्ष्य

Verus की घटना यह भी दिखाती है कि क्रॉस‑चेन ब्रिज सुरक्षा के लिहाज़ से इतने जोखिमभरे क्यों हैं। ब्रिज को एक ब्लॉकचेन पर हुई घटना की वैधता दूसरी ब्लॉकचेन पर साबित करनी पड़ती है। अगर इस प्रक्रिया में कहीं भी लॉजिक की कमी हो, तो हमलावर बिना असली जमा किए भी टोकन निकाल सकता है।

डेटा के अनुसार मई 2026 तक केवल ब्रिज‑संबंधित आठ हैक में लगभग $328.6 मिलियन का नुकसान दर्ज किया जा चुका था।

बड़ी सीख

Verus–Ethereum ब्रिज हमला दिखाता है कि कभी‑कभी कोड की एक छोटी‑सी वैलिडेशन गलती भी करोड़ों डॉलर के नुकसान का कारण बन सकती है। एक साधारण चेक की कमी ने फर्जी क्रॉस‑चेन मैसेज को वैध बना दिया और उससे वास्तविक भुगतान ट्रिगर हो गया।

साथ ही यह घटना DeFi की एक व्यावहारिक वास्तविकता भी दिखाती है: जब हमला हो जाता है, तो कई बार बातचीत और बाउंटी डील ही सबसे तेज़ तरीका बन जाती है जिससे कुछ फंड वापस मिल सकें और प्रोटोकॉल यूज़र्स का भरोसा फिर से बनाया जा सके।