Como aconteceu o hack de US$ 11,6 milhões na ponte Verus–Ethereum — e por que o atacante devolveu a maior parte

• 103,6 tBTC
• 1.625 ETH
• cerca de 147.000 USDC

Somados, esses valores representavam aproximadamente US$ 11,58 milhões no momento do ataque. Depois do roubo, o invasor converteu os tokens em cerca de 5.402 ETH, concentrando os fundos em um único ativo.

Empresas de monitoramento de segurança blockchain como Blockaid e PeckShield detectaram a atividade enquanto ela acontecia e alertaram usuários para evitar interagir com a ponte.

A vulnerabilidade central: validação incompleta entre as duas redes

Investigações apontaram um problema relativamente simples na lógica de verificação cross‑chain da ponte. Ambos os lados do sistema realizavam certas verificações — mas nenhum deles confirmava se o valor transferido na cadeia de origem correspondia ao valor liberado no Ethereum.

Na prática, isso significava que:

• A estrutura e a autenticidade da mensagem cross‑chain eram verificadas.
• Porém o contrato não confirmava que existia um depósito real que justificasse o valor sacado.

Com essa lacuna, um atacante podia criar uma mensagem aparentemente válida, mas solicitando um valor muito maior do que o realmente depositado. Pesquisadores disseram que o problema era pequeno em termos de código — algo que poderia ser corrigido com poucas linhas de Solidity — mas com consequências enormes.

Importante: o ataque não envolveu chaves privadas roubadas, falhas criptográficas ou quebra de assinatura. Foi puramente um erro lógico na validação do contrato da ponte.

Quanto foi roubado — e quanto foi recuperado

O ataque inicial drenou cerca de US$ 11,58 milhões das reservas da ponte.

Pouco depois, a equipe do Verus fez uma proposta pública: se o invasor devolvesse a maior parte dos fundos rapidamente, poderia ficar com uma parte como recompensa.

O acordo final ficou assim:

• 4.052,4 ETH devolvidos ao projeto (aprox. US$ 8,5 milhões)
• 1.350 ETH mantidos pelo atacante como bounty (aprox. US$ 2,8 milhões)

No total, cerca de 75% do valor roubado foi recuperado após a negociação.

Por que projetos DeFi negociam com hackers

A resposta da equipe Verus segue uma tendência cada vez mais comum no ecossistema de finanças descentralizadas (DeFi). Quando os fundos roubados ainda estão visíveis em blockchain — e portanto rastreáveis — alguns projetos optam por negociar para recuperar parte do dinheiro.

Essas negociações normalmente incluem:

• mensagens públicas ou on‑chain oferecendo recompensa
• comunicação via redes sociais ou fóruns
• um prazo para devolver os fundos

Pesquisas de segurança mostram que isso pode aumentar significativamente a recuperação. Um levantamento sobre incidentes DeFi indicou mais de 200 exploits em 2024, com cerca de US$ 220 milhões recuperados por meio de ações de white hats ou negociações — cerca de 15% das perdas totais.

Por que bridges continuam sendo alvos frequentes

O caso da Verus também reforça um problema estrutural: bridges são alguns dos alvos mais lucrativos para hackers em cripto.

Isso acontece porque elas precisam verificar eventos em uma blockchain antes de executar transações em outra. Qualquer falha nessa lógica pode permitir que um invasor crie ou retire ativos sem um depósito real correspondente.

Os números mostram a dimensão do risco. Até maio de 2026 já haviam ocorrido oito hacks relacionados a bridges, somando cerca de US$ 328,6 milhões em perdas.

A combinação de grandes reservas de liquidez e lógica técnica complexa faz dessas pontes um alvo extremamente atraente para ataques.

A principal lição

O hack da ponte Verus–Ethereum mostra como uma falha aparentemente pequena pode resultar em perdas multimilionárias. Bastou um campo crítico não verificado para que mensagens cross‑chain falsificadas acionassem transferências legítimas de fundos.

Ao mesmo tempo, o desfecho ilustra uma realidade prática da segurança em DeFi: quando um ataque acontece, negociações e recompensas emergenciais frequentemente se tornam ferramentas de controle de danos enquanto equipes corrigem vulnerabilidades e tentam restaurar a confiança dos usuários.