Как произошёл взлом моста Verus–Ethereum на $11,5 млн
В мае 2026 года злоумышленник вывел из моста Verus–Ethereum около $11,5–$11,58 млн, используя уязвимость в проверке данных кроссчейн‑транзакций. Были выведены ETH, tBTC и USDC; затем средства быстро обменяли и консолидировали примерно в 5 402 ETH.
What happened in the $11.5 million Verus-Ethereum bridge exploit, how did the attacker use a missing validation check to drain funds despiteThe Verus‑Ethereum bridge exploit shows how a small validation gap can allow attackers to withdraw unbacked assets even when cryptographic proofs appear valid.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What happened in the $11.5 million Verus-Ethereum bridge exploit, how did the attacker use a missing validation check to drain funds despite. Article summary: The Verus-Ethereum bridge exploit appears to have been an authorization/validation failure, not a failure of the bridge’s cryptographic proof system. Reports say the bridge accepted valid-looking notarized roots and Merk. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "On May 18, cybersecurity firm Blockaid posted on X that its vulnerability detection system has discovered an attack on the Verus Ethereum cross-chain bridge, leading to approximate" source context "Verus Ethereum Cross-Chain Bridge Hacked, Loses ... - Lookonchain" Reference image 2: visual subject "On May 18, cyb
openai.com
Кроссчейн‑мосты предназначены для безопасного перемещения активов между блокчейнами. Но взлом моста Verus–Ethereum в мае 2026 года показал, что даже исправная криптография не гарантирует безопасности, если в смарт‑контракте пропущена важная логическая проверка.
По данным исследователей безопасности, злоумышленник смог вывести из резерва моста примерно $11,5–$11,58 млн в криптовалютах, воспользовавшись отсутствующей проверкой в механизме подтверждения кроссчейн‑переводов. Подозрительные транзакции были обнаружены системами мониторинга блокчейна, когда начались необычные выводы средств с Ethereum‑контракта моста.
Что произошло
Аномальная активность была впервые зафиксирована 18 мая 2026 года. Аналитические сервисы быстро оценили общий ущерб примерно в $11,5 млн.
Согласно данным блокчейна, злоумышленник вывел из резервов моста несколько активов, включая:
ETH
tBTC (токенизированный биткоин)
USDC
Один из отчётов указывает на перевод примерно 1 625,36 ETH, 103,56 tBTC и около 147 658 USDC на кошелёк, контролируемый атакующим.
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
Каков краткий ответ на вопрос «Как произошёл взлом моста Verus–Ethereum на $11,5 млн»?
В мае 2026 года злоумышленник вывел из моста Verus–Ethereum около $11,5–$11,58 млн, используя уязвимость в проверке данных кроссчейн‑транзакций.
Какие ключевые моменты необходимо проверить в первую очередь?
В мае 2026 года злоумышленник вывел из моста Verus–Ethereum около $11,5–$11,58 млн, используя уязвимость в проверке данных кроссчейн‑транзакций. Были выведены ETH, tBTC и USDC; затем средства быстро обменяли и консолидировали примерно в 5 402 ETH.
Что мне делать дальше на практике?
Исследователи считают, что проблему могла предотвратить простая проверка соответствия суммы перевода и заблокированных активов — типичная ошибка логики смарт‑контракта.
Позже украденные средства были обменены и консолидированы примерно в 5 402 ETH, что обычно делается для упрощения дальнейшего перемещения или отмывания средств.
Почему криптографические доказательства выглядели корректными
На первый взгляд ситуация казалась странной: система криптографической проверки моста, по сообщениям исследователей, работала корректно.
Мост Verus использовал:
нотариализованные корни состояния (state roots)
Merkle‑доказательства
Такие доказательства подтверждают, что определённая запись действительно присутствует в состоянии блокчейна‑источника.
Однако важный нюанс: Merkle‑доказательство подтверждает только наличие данных, но не гарантирует, что эти данные экономически корректны — например, что за переводом действительно стоят заблокированные средства.
Исследование показало, что контракт моста:
корректно проверял нотариализованные state roots
корректно проверял Merkle‑включение
но не проверял, соответствуют ли заявленные суммы реально заблокированным активам на исходной сети.
В результате злоумышленник смог создать сообщение кроссчейн‑перевода, которое выглядело криптографически валидным, но позволяло вывести больше средств, чем было фактически обеспечено.
Проще говоря: доказательство подтверждало сообщение, но контракт не проверял, имеет ли это сообщение право инициировать такой вывод средств.
Какая проверка отсутствовала
Специалисты по безопасности называют произошедшее классической ошибкой бизнес‑логики в смарт‑контракте.
Контракт на стороне Ethereum должен был дополнительно проверять соответствие следующих параметров:
тип токена
сумма перевода
адрес получателя
состояние резервов моста
Из‑за отсутствия такой проверки контракт принимал операции, которые не были обеспечены депозитами на исходной цепочке.
По данным исследователей, злоумышленнику понадобилось всего около $10 комиссий в VRSC, чтобы инициировать вывод средств на миллионы долларов в сети Ethereum.
Поскольку проблема заключалась не в криптографии, а в логике проверки, разработчики подготовили патч для смарт‑контракта на Solidity, чтобы закрыть уязвимость.
Похожие атаки: Wormhole и Nomad
Инцидент с Verus укладывается в уже знакомый шаблон взломов кроссчейн‑мостов.
Wormhole (2022)
В феврале 2022 года мост Wormhole был взломан после обхода проверки подписей, что позволило злоумышленнику создать 120 000 wrapped ETH (wETH) стоимостью более $320 млн.
Фактически система была обманута — она «поверила», что залог был внесён, хотя этого не произошло.
Nomad (2022)
В августе 2022 года мост Nomad потерял около $190 млн после ошибки конфигурации, из‑за которой сообщения автоматически считались корректными. Это позволило злоумышленникам копировать и повторять транзакции для вывода средств.
Где находится Verus в этой цепочке
Атака на Verus больше напоминает Nomad, чем Wormhole. В обоих случаях:
система принимала доказательства или сообщения как валидные
но логика проверки того, что именно разрешает это сообщение, была ошибочной.
Результат одинаковый — вывод средств без реального обеспечения.
Почему мосты остаются одной из самых уязвимых частей DeFi
Кроссчейн‑мосты объединяют сразу несколько сложных компонентов:
криптографическую проверку доказательств
передачу сообщений между блокчейнами
учёт активов в смарт‑контрактах
хранение крупных резервов ликвидности
Если хотя бы один элемент проверки работает неправильно — даже из‑за небольшой логической ошибки — система может разрешить вывод средств, превышающий фактическое обеспечение.
Инцидент с Verus подчёркивает важный принцип безопасности:
«доказательство прошло проверку» не означает «перевод действительно допустим».
Контракты всё равно должны проверять суммы, активы, адреса получателей и состояние резервов.
Что дальше: возможные компенсации и страхование
На момент появления первых сообщений подробности о компенсациях или восстановлении средств оставались ограниченными. Некоторые публикации отмечали, что официальные заявления проекта ещё не были сделаны.
Если средства не удастся вернуть, дальнейшее развитие ситуации может зависеть от нескольких факторов:
резервов казначейства проекта
решений управления (governance)
переговоров с атакующим
наличия сторонней DeFi‑страховки
Для страховых сервисов в DeFi такие инциденты снова поднимают вопрос классификации: считать ли подобные события ошибкой смарт‑контракта, инфраструктурным сбоем или архитектурным риском.
Главный урок для индустрии
Взлом Verus‑Ethereum показал, что самые опасные уязвимости в DeFi часто связаны не с криптографией, а с мелкими ошибками в логике смарт‑контрактов.
Мост может идеально проверять подписи, state roots и Merkle‑доказательства — но всё равно быть уязвимым, если контракт не подтверждает, что проверенные данные действительно разрешают выполняемую операцию.
Эта небольшая разница уже стоила индустрии DeFi миллиарды долларов — и атака на Verus стала ещё одним напоминанием о том, что безопасность кроссчейн‑систем зависит не только от криптографии, но и от строгой логики учёта активов.
Comments
0 comments