Злом мосту Verus–Ethereum: як нестача перевірки коштувала $11,6 млн — і чому хакер повернув більшість грошей
18 травня 2026 року через підроблене кросчейн повідомлення та відсутність перевірки суми з мосту Verus–Ethereum вивели близько $11,58 млн; після переговорів хакер повернув 4 052,4 ETH ( $8,5 млн) і залишив собі 1 350... Вада полягала в тому, що міст перевіряв структуру повідомлення, але не звіряв суму, яка була факт...
18 травня 2026 року через підроблене кросчейн повідомлення та відсутність перевірки суми з мосту Verus–Ethereum вивели близько $11,58 млн; після переговорів хакер повернув 4 052,4 ETH ( $8,5 млн) і залишив собі 1 350...
Вада полягала в тому, що міст перевіряв структуру повідомлення, але не звіряв суму, яка була фактично внесена на блокчейні Verus, із сумою виплати на Ethereum.
Інцидент ілюструє зростаючу тенденцію в DeFi: проєкти все частіше пропонують хакерам «білі капелюхи» (bounty) для повернення коштів, оскільки кросчейн мости залишаються однією з найвразливіших ланок інфраструктури.
How did the May 18 Verus–Ethereum bridge exploit occur, how much crypto was stolen and later returned after the bounty deal, what vulnerabilCross‑chain bridges connect blockchains but also introduce complex verification risks that attackers increasingly exploit.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: How did the May 18 Verus–Ethereum bridge exploit occur, how much crypto was stolen and later returned after the bounty deal, what vulnerabil. Article summary: The May 18 Verus–Ethereum bridge exploit appears to have been a forged cross-chain import/transfer attack: the attacker submitted a malicious `submitImports()` payload on Ethereum that the bridge accepted as valid, letti. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "**A coordinated exploit drained approximately $11.5 million from the Verus-Ethereum bridge on May 18, with security firm Blockaid linking the attacker’s wallet to Tornado Cash.**." source context "Flagged Live: Attacker Flips $11.5M in Stolen Verus Assets to ETH Following Tornado Cash Setup" Reference image 2: vi
openai.com
Кросчейн-мости з'єднують різні блокчейни, але водночас концентрують у собі ризики. 18 травня 2026 року міст між мережами Verus та Ethereum став черговим прикладом: зловмисники скористалися вадою валідації та вивели приблизно $11,58 млн у криптоактивах. Зрештою інцидент вдалося врегулювати через переговори: більшість коштів повернули, а хакер залишив собі частину як винагороду.
Як відбувся експлойт мосту Verus–Ethereum
Атака була спрямована на міст, який дозволяє переміщувати активи між блокчейном Verus та Ethereum. Дослідники безпеки стверджують, що зловмисник надіслав підроблене кросчейн-повідомлення (так званий import payload), яке контракт мосту на Ethereum прийняв як легітимне. Після успішної верифікації контракт виконав перекази, і кошти опинилися в руках хакера.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Злом мосту Verus–Ethereum: як нестача перевірки коштувала $11,6 млн — і чому хакер повернув більшість грошей"?
18 травня 2026 року через підроблене кросчейн повідомлення та відсутність перевірки суми з мосту Verus–Ethereum вивели близько $11,58 млн; після переговорів хакер повернув 4 052,4 ETH ( $8,5 млн) і залишив собі 1 350...
What are the key points to validate first?
18 травня 2026 року через підроблене кросчейн повідомлення та відсутність перевірки суми з мосту Verus–Ethereum вивели близько $11,58 млн; після переговорів хакер повернув 4 052,4 ETH ( $8,5 млн) і залишив собі 1 350... Вада полягала в тому, що міст перевіряв структуру повідомлення, але не звіряв суму, яка була фактично внесена на блокчейні Verus, із сумою виплати на Ethereum.
What should I do next in practice?
Інцидент ілюструє зростаючу тенденцію в DeFi: проєкти все частіше пропонують хакерам «білі капелюхи» (bounty) для повернення коштів, оскільки кросчейн мости залишаються однією з найвразливіших ланок інфраструктури.
Злом мосту Verus–Ethereum: як нестача перевірки коштувала $11,6 млн — і чому хакер повернув більшість грошей
18 травня 2026 року через підроблене кросчейн повідомлення та відсутність перевірки суми з мосту Verus–Ethereum вивели близько $11,58 млн; після переговорів хакер повернув 4 052,4 ETH ( $8,5 млн) і залишив собі 1 350... Вада полягала в тому, що міст перевіряв структуру повідомлення, але не звіряв суму, яка була факт...
18 травня 2026 року через підроблене кросчейн повідомлення та відсутність перевірки суми з мосту Verus–Ethereum вивели близько $11,58 млн; після переговорів хакер повернув 4 052,4 ETH ( $8,5 млн) і залишив собі 1 350...
Вада полягала в тому, що міст перевіряв структуру повідомлення, але не звіряв суму, яка була фактично внесена на блокчейні Verus, із сумою виплати на Ethereum.
Інцидент ілюструє зростаючу тенденцію в DeFi: проєкти все частіше пропонують хакерам «білі капелюхи» (bounty) для повернення коштів, оскільки кросчейн мости залишаються однією з найвразливіших ланок інфраструктури.
How did the May 18 Verus–Ethereum bridge exploit occur, how much crypto was stolen and later returned after the bounty deal, what vulnerabilCross‑chain bridges connect blockchains but also introduce complex verification risks that attackers increasingly exploit.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: How did the May 18 Verus–Ethereum bridge exploit occur, how much crypto was stolen and later returned after the bounty deal, what vulnerabil. Article summary: The May 18 Verus–Ethereum bridge exploit appears to have been a forged cross-chain import/transfer attack: the attacker submitted a malicious `submitImports()` payload on Ethereum that the bridge accepted as valid, letti. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "**A coordinated exploit drained approximately $11.5 million from the Verus-Ethereum bridge on May 18, with security firm Blockaid linking the attacker’s wallet to Tornado Cash.**." source context "Flagged Live: Attacker Flips $11.5M in Stolen Verus Assets to ETH Following Tornado Cash Setup" Reference image 2: vi
openai.com
Кросчейн-мости з'єднують різні блокчейни, але водночас концентрують у собі ризики. 18 травня 2026 року міст між мережами Verus та Ethereum став черговим прикладом: зловмисники скористалися вадою валідації та вивели приблизно $11,58 млн у криптоактивах. Зрештою інцидент вдалося врегулювати через переговори: більшість коштів повернули, а хакер залишив собі частину як винагороду.
Як відбувся експлойт мосту Verus–Ethereum
Атака була спрямована на міст, який дозволяє переміщувати активи між блокчейном Verus та Ethereum. Дослідники безпеки стверджують, що зловмисник надіслав підроблене кросчейн-повідомлення (так званий import payload), яке контракт мосту на Ethereum прийняв як легітимне. Після успішної верифікації контракт виконав перекази, і кошти опинилися в руках хакера.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Злом мосту Verus–Ethereum: як нестача перевірки коштувала $11,6 млн — і чому хакер повернув більшість грошей"?
18 травня 2026 року через підроблене кросчейн повідомлення та відсутність перевірки суми з мосту Verus–Ethereum вивели близько $11,58 млн; після переговорів хакер повернув 4 052,4 ETH ( $8,5 млн) і залишив собі 1 350...
What are the key points to validate first?
18 травня 2026 року через підроблене кросчейн повідомлення та відсутність перевірки суми з мосту Verus–Ethereum вивели близько $11,58 млн; після переговорів хакер повернув 4 052,4 ETH ( $8,5 млн) і залишив собі 1 350... Вада полягала в тому, що міст перевіряв структуру повідомлення, але не звіряв суму, яка була фактично внесена на блокчейні Verus, із сумою виплати на Ethereum.
What should I do next in practice?
Інцидент ілюструє зростаючу тенденцію в DeFi: проєкти все частіше пропонують хакерам «білі капелюхи» (bounty) для повернення коштів, оскільки кросчейн мости залишаються однією з найвразливіших ланок інфраструктури.
Загальна сума на момент експлойту становила приблизно $11,58 млн. Хакер конвертував усі активи в приблизно 5 402 ETH, консолідувавши вкрадене в одному активі.
Фірми з моніторингу безпеки, такі як Blockaid та PeckShield, виявили атаку, коли вона ще тривала, і попередили користувачів уникати взаємодії з мостом.
Основна вразливість: відсутність перевірки суми в кросчейн-повідомленні
Розслідування вказують на ваду в логіці кросчейн-верифікації мосту. Обидві сторони мосту виконували певні перевірки, але жодна не гарантувала, що критичне поле — сума, фактично переказана у вихідному блокчейні, збігається із сумою виплати на Ethereum.
На практиці це означало:
Міст перевіряв структуру та автентичність кросчейн-повідомлення.
Але не підтверджував, що депозит у вихідній мережі реально забезпечує суму виведення.
Через цю прогалину атакуючий міг створити повідомлення, яке проходило верифікацію, але вимагало набагато більшої виплати. Слідчі описали ваду як невелику, але критичну логічну помилку, яку можна виправити лише кількома рядками коду мовою Solidity.
Важливо, що експлойт не вимагав викрадених ключів, зламу криптографії або обходу підписів — це була суто проблема логіки в коді мосту.
Скільки вкрали та скільки повернули
Початковий експлойт вивів близько $11,58 млн із резервів мосту.
Невдовзі команда Verus запропонувала врегулювання: якщо хакер поверне більшість коштів протягом короткого часу, він зможе залишити собі частину як винагороду.
Остаточний результат:
4 052,4 ETH повернуто команді Verus (близько $8,5 млн)
1 350 ETH залишилося хакеру як винагорода (близько $2,8 млн)
Таким чином, приблизно 75% викрадених коштів вдалося повернути через переговори.
Чому DeFi-проєкти іноді домовляються з хакерами
Реакція Verus відображає зростаючу практику в децентралізованих фінансах. Коли кошти викрадено, але їх можна відстежити в блокчейні, протоколи іноді ведуть переговори з хакерами, щоб стимулювати часткове повернення, а не ризикувати втратити все.
Такий підхід уже застосовувався в кількох гучних інцидентах і часто передбачає:
Повідомлення в блокчейні з пропозицією винагороди
Публічні переговори через соціальні мережі
Делайн для повернення коштів
Дослідження безпеки показують, що такі переговори можуть суттєво підвищити рівень відшкодування. Один із оглядів інцидентів у DeFi повідомляє про понад 200 експлойтів у 2024 році, з яких приблизно $220 млн було повернуто через дії «білих капелюхів» або переговори, що становить приблизно 15% рівень відшкодування.
Чому кросчейн-мости залишаються мішенями високого ризику
Інцидент із Verus також підкреслює, чому мости залишаються однією з найбільш експлуатованих частин криптоінфраструктури.
Мости повинні перевіряти, чи події в одному блокчейні є дійсними, перш ніж виконувати транзакції в іншому. Будь-яка слабкість у цій логіці верифікації може дозволити зловмисникам карбувати або виводити активи без реального забезпечення.
Дані безпеки демонструють масштаб проблеми: станом на травень 2026 року вже сталося вісім зломів мостів на загальну суму близько $328,6 млн.
Поєднання великих пулів ліквідності та складної кросчейн-верифікації робить мости особливо привабливими для атак.
Головний висновок
Експлойт мосту Verus–Ethereum демонструє, як навіть незначний недогляд у валідації може призвести до багатомільйонної атаки. Одна пропущена перевірка дозволила підробленим кросчейн-повідомленням ініціювати законні виплати.
Водночас вирішення інциденту ілюструє прагматичну реальність безпеки DeFi: коли експлойти вже відбулися, домовленості про повернення коштів і винагороди дедалі частіше використовуються як інструмент екстреного контролю збитків, поки команди лагодять вразливості та відновлюють довіру користувачів.
Verus Ethereum bridge exploit drains $11.6M and halts nodes as ...
Загальна сума на момент експлойту становила приблизно $11,58 млн. Хакер конвертував усі активи в приблизно 5 402 ETH, консолідувавши вкрадене в одному активі.
Фірми з моніторингу безпеки, такі як Blockaid та PeckShield, виявили атаку, коли вона ще тривала, і попередили користувачів уникати взаємодії з мостом.
Основна вразливість: відсутність перевірки суми в кросчейн-повідомленні
Розслідування вказують на ваду в логіці кросчейн-верифікації мосту. Обидві сторони мосту виконували певні перевірки, але жодна не гарантувала, що критичне поле — сума, фактично переказана у вихідному блокчейні, збігається із сумою виплати на Ethereum.
На практиці це означало:
Міст перевіряв структуру та автентичність кросчейн-повідомлення.
Але не підтверджував, що депозит у вихідній мережі реально забезпечує суму виведення.
Через цю прогалину атакуючий міг створити повідомлення, яке проходило верифікацію, але вимагало набагато більшої виплати. Слідчі описали ваду як невелику, але критичну логічну помилку, яку можна виправити лише кількома рядками коду мовою Solidity.
Важливо, що експлойт не вимагав викрадених ключів, зламу криптографії або обходу підписів — це була суто проблема логіки в коді мосту.
Скільки вкрали та скільки повернули
Початковий експлойт вивів близько $11,58 млн із резервів мосту.
Невдовзі команда Verus запропонувала врегулювання: якщо хакер поверне більшість коштів протягом короткого часу, він зможе залишити собі частину як винагороду.
Остаточний результат:
4 052,4 ETH повернуто команді Verus (близько $8,5 млн)
1 350 ETH залишилося хакеру як винагорода (близько $2,8 млн)
Таким чином, приблизно 75% викрадених коштів вдалося повернути через переговори.
Чому DeFi-проєкти іноді домовляються з хакерами
Реакція Verus відображає зростаючу практику в децентралізованих фінансах. Коли кошти викрадено, але їх можна відстежити в блокчейні, протоколи іноді ведуть переговори з хакерами, щоб стимулювати часткове повернення, а не ризикувати втратити все.
Такий підхід уже застосовувався в кількох гучних інцидентах і часто передбачає:
Повідомлення в блокчейні з пропозицією винагороди
Публічні переговори через соціальні мережі
Делайн для повернення коштів
Дослідження безпеки показують, що такі переговори можуть суттєво підвищити рівень відшкодування. Один із оглядів інцидентів у DeFi повідомляє про понад 200 експлойтів у 2024 році, з яких приблизно $220 млн було повернуто через дії «білих капелюхів» або переговори, що становить приблизно 15% рівень відшкодування.
Чому кросчейн-мости залишаються мішенями високого ризику
Інцидент із Verus також підкреслює, чому мости залишаються однією з найбільш експлуатованих частин криптоінфраструктури.
Мости повинні перевіряти, чи події в одному блокчейні є дійсними, перш ніж виконувати транзакції в іншому. Будь-яка слабкість у цій логіці верифікації може дозволити зловмисникам карбувати або виводити активи без реального забезпечення.
Дані безпеки демонструють масштаб проблеми: станом на травень 2026 року вже сталося вісім зломів мостів на загальну суму близько $328,6 млн.
Поєднання великих пулів ліквідності та складної кросчейн-верифікації робить мости особливо привабливими для атак.
Головний висновок
Експлойт мосту Verus–Ethereum демонструє, як навіть незначний недогляд у валідації може призвести до багатомільйонної атаки. Одна пропущена перевірка дозволила підробленим кросчейн-повідомленням ініціювати законні виплати.
Водночас вирішення інциденту ілюструє прагматичну реальність безпеки DeFi: коли експлойти вже відбулися, домовленості про повернення коштів і винагороди дедалі частіше використовуються як інструмент екстреного контролю збитків, поки команди лагодять вразливості та відновлюють довіру користувачів.
Verus Ethereum bridge exploit drains $11.6M and halts nodes as ...
