Innsiden av Verus–Ethereum-bro-hacket på 11,6 millioner dollar

De stjålne eiendelene skal ha inkludert:

• 103,6 tBTC
• 1.625 ETH
• Omtrent 147.000 USDC

Til sammen utgjorde dette omtrent 11,58 millioner dollar på utnyttelsestidspunktet. Angriperen byttet deretter tokenene til omtrent 5.402 ETH, og samlet de stjålne midlene i én enkelt eiendel.

Sikkerhetsovervåkingsfirmaer som Blockaid og PeckShield oppdaget utnyttelsen mens den pågikk og advarte brukere om å unngå å samhandle med broen.

Kjernesårbarheten: Manglende tverrkjede-beløpsvalidering

Etterforskninger av sikkerhetsforskere peker på en feil i broens logikk for tverrkjede-verifisering. Begge sider av broen utførte visse kontroller, men ingen av sidene sørget for at et kritisk felt – beløpet som ble overført på kjedekilden – stemte overens med utbetalingsbeløpet på Ethereum.

I praksis betydde dette:

• Broen verifiserte strukturen og ektheten til den tverrkjede-meldingen.
• Men den bekreftet ikke at kildekjedeinnskuddet faktisk dekket uttaksbeløpet.

På grunn av dette manglende valideringstrinnet kunne en angriper lage en melding som tilfredsstilte verifiseringsprosessen samtidig som den ba om et mye større uttak. Etterforskere beskrev feilen som et lite, men kritisk logikkgap som kunne fikses med bare noen få linjer Solidity-kode.

Viktigere: Utnyttelsen innebar ikke stjålne nøkler, ødelagt kryptografi eller signaturomgåelse – det var rent et logikk-/valideringsproblem i broens kode.

Hvor mye krypto ble stjålet – og returnert

Det første uttaket tømte omtrent 11,58 millioner dollar fra broens reserver.

Kort tid etter foreslo Verus-teamet et forlik: Hvis angriperen returnerte mesteparten av midlene innen en kort tidsramme, kunne de beholde en andel som en dusør.

Sluttresultatet:

• 4.052,4 ETH returnert til Verus-teamet (omtrent 8,5 millioner dollar)
• 1.350 ETH beholdt av angriperen som en dusør (omtrent 2,8 millioner dollar)

Det betyr at omtrent 75 % av de stjålne midlene ble gjenvunnet gjennom forhandlinger.

Hvorfor DeFi-prosjekter noen ganger forhandler med hackere

Verus-responsen gjenspeiler et voksende mønster i desentralisert finans. Når midler blir stjålet, men forblir sporbare på kjeden, forhandler protokoller noen ganger med angripere for å oppmuntre til delvis gjenvinning i stedet for å risikere å miste alt.

Denne tilnærmingen har dukket opp i flere høyprofilerte hendelser og innebærer ofte:

• Meldinger på kjeden som tilbyr en dusør
• Offentlig forhandling via sosiale kanaler
• En frist for å returnere midler

Sikkerhetsforskning viser at disse forhandlingene kan forbedre gjenvinningsgraden betydelig. En gjennomgang av DeFi-hendelser rapporterte mer enn 200 utnyttelser i 2024, med omtrent 220 millioner dollar gjenvunnet gjennom white-hat-aksjoner eller forhandlede returer, noe som representerer omtrent en gjenvinningsgrad på 15 %.

Hvorfor tverrkjede-broer forblir høyrisikomål

Verus-hendelsen understreker også hvorfor broer forblir en av de mest utnyttede delene av krypto-infrastrukturen.

Broer må verifisere at hendelser på én blokkjede er gyldige før de utfører transaksjoner på en annen. Enhver svakhet i den verifiseringslogikken kan tillate angripere å prege eller ta ut eiendeler uten underliggende innskudd.

Sikkerhetsdata viser omfanget av problemet: innen mai 2026 hadde det allerede vært åtte brorelaterte hack på totalt omtrent 328,6 millioner dollar i tap.

Kombinasjonen av store likviditetspooler og kompleks tverrkjede-verifisering gjør broer spesielt attraktive mål for angripere.

Den større lærdommen

Verus–Ethereum-bro-utnyttelsen viser hvordan selv en liten valideringsforsømmelse kan muliggjøre et multimillion-dollar-angrep. En enkelt manglende sjekk tillot forfalskede tverrkjedemeldinger å utløse legitime utbetalinger.

Samtidig illustrerer løsningen en pragmatisk virkelighet i DeFi-sikkerhet: når utnyttelser skjer, blir forhandlede gjenvinninger og dusøravtaler i økende grad brukt som nødskadekontrollverktøy mens team lapper sårbarheter og gjenoppretter brukertillit.