Så gick 11,6 M$-hackningen av Verus–Ethereum-bryggan till – och varför angriparen lämnade tillbaka det mesta

De stulna tillgångarna omfattade enligt uppgift:

• 103,6 tBTC
• 1 625 ETH
• Cirka 147 000 USDC

Tillsammans uppgick dessa till cirka 11,58 miljoner dollar vid tillfället för exploateringen. Angriparen växlade sedan token till cirka 5 402 ETH och samlade de stulna medlen i en enda tillgång.

Säkerhetsövervakningsföretag som Blockaid och PeckShield upptäckte exploateringen medan den pågick och varnade användare att undvika interaktion med bryggan.

Den grundläggande sårbarheten: Saknad validering av kedjeöverskridande belopp

Undersökningar av säkerhetsforskare pekar på en brist i bryggans logik för kedjeöverskridande verifiering. Båda sidor av bryggan utförde vissa kontroller, men ingen sida säkerställde att ett kritiskt fält – beloppet som överförts på källkedjan – matchade utbetalningsbeloppet på Ethereum.

I praktiken innebar detta:

• Bryggan verifierade strukturen och äktheten hos det kedjeöverskridande meddelandet.
• Men den bekräftade inte att insättningen på källkedjan faktiskt täckte uttagsbeloppet.

På grund av denna saknade validering kunde en angripare konstruera ett meddelande som uppfyllde verifieringsprocessen samtidigt som det begärde ett mycket större uttag. Forskare beskrev buggen som ett litet men kritiskt logikglapp som kunde åtgärdas med bara några rader Solidity-kod.

Viktigt nog innebar inte exploateringen stulna nycklar, bruten kryptering eller signaturkringgående – det var rent ett logikvalideringsproblem i bryggans kod.

Hur mycket krypto stals – och återlämnades

Den ursprungliga exploateringen tömde cirka 11,58 miljoner dollar från bryggans reserver.

Kort därefter föreslog Verus-teamet en uppgörelse: om angriparen återlämnade större delen av medlen inom en kort tidsram skulle de få behålla en andel som bounty.

Slutresultatet:

• 4 052,4 ETH återlämnades till Verus-teamet (cirka 8,5 miljoner dollar)
• 1 350 ETH behölls av angriparen som bounty (cirka 2,8 miljoner dollar)

Det innebar att cirka 75 % av de stulna medlen återfanns genom förhandling.

Varför DeFi-projekt ibland förhandlar med hackare

Verus svar speglar ett växande mönster inom decentraliserad finans. När medel blir stulna men förblir spårbara på kedjan förhandlar protokoll ibland med angripare för att uppmuntra till partiell återvinning, istället för att riskera att förlora allt.

Detta tillvägagångssätt har förekommit i flera uppmärksammade incidenter och innebär ofta:

• Meddelanden på kedjan som erbjuder en bounty
• Offentlig förhandling via sociala kanaler
• En tidsfrist för återlämnande av medel

Säkerhetsforskning visar att dessa förhandlingar på ett meningsfullt sätt kan förbättra återvinningsgraden. En granskning av DeFi-incidenter rapporterade fler än 200 exploateringar under 2024, med cirka 220 miljoner dollar återvunna genom white-hat-åtgärder eller förhandlade återbetalningar, vilket motsvarar en återvinningsgrad på cirka 15 %.

Varför kedjeöverskridande bryggor förblir högriskmål

Verus-incidenten belyser också varför bryggor är en av de mest utsatta delarna av kryptoinfrastrukturen.

Bryggor måste verifiera att händelser på en blockkedja är giltiga innan de utför transaktioner på en annan. Varje svaghet i den verifieringslogiken kan göra det möjligt för angripare att prägla eller ta ut tillgångar utan underliggande insättningar.

Säkerhetsdata visar problemets omfattning: i maj 2026 hade redan åtta bryggerelaterade hack ägt rum, med totala förluster på cirka 328,6 miljoner dollar.

Kombinationen av stora likviditetspooler och komplex kedjeöverskridande verifiering gör bryggor till särskilt attraktiva mål för angripare.

Den större lärdomen

Exploateringen av Verus–Ethereum-bryggan visar hur även ett litet valideringsförbiseende kan möjliggöra en attack värd flera miljoner dollar. En enda saknad kontroll gjorde att förfalskade kedjeöverskridande meddelanden kunde utlösa legitima utbetalningar.

Samtidigt illustrerar upplösningen en pragmatisk verklighet inom DeFi-säkerhet: när exploateringar inträffar blir förhandlade återvinningar och bounty-avtal i allt högre grad ett akut skadebegränsningsverktyg medan team åtgärdar sårbarheter och återställer användarnas förtroende.