Verus‑Ethereum 跨鏈橋 $1,150 萬漏洞事件解構

跨鏈橋（cross‑chain bridge）嘅作用係令加密資產可以喺不同區塊鏈之間轉移。不過 2026 年 5 月發生嘅 Verus‑Ethereum 跨鏈橋漏洞事件 再一次顯示，即使密碼學證明機制運作正常，只要智能合約驗證邏輯有細小缺口，都可以造成千萬美元級別嘅損失。

調查顯示，攻擊者利用橋合約入面一個缺失嘅驗證檢查，最終從 Ethereum 端橋儲備中抽走約 1,150 萬至 1,158 萬美元 資產。

攻擊事件發生經過

安全監控系統喺 2026 年 5 月 18 日 首先發現異常交易，當時 Verus‑Ethereum 橋合約開始出現可疑提款。

鏈上數據顯示，攻擊者從橋資金池提取多種資產，包括：

• ETH
• tBTC（tokenized Bitcoin）
• USDC

其中一次主要轉移包括：

• 1,625.36 ETH
• 103.56 tBTC
• 約 147,658 USDC

呢啲資產被轉入同一個攻擊者控制嘅錢包地址，之後再透過交易快速兌換並整合成 約 5,402 ETH，可能係為咗方便之後轉移或洗錢。

點解「加密證明有效」仍然會被盜

事件初期令不少人困惑，因為橋嘅密碼學驗證機制似乎並冇被破解。

Verus 橋使用 notarized state roots 同 Merkle proof（默克爾證明），去驗證某筆交易是否曾經喺來源鏈上發生。

呢類證明可以確認：

• 某段資料確實存在於某個區塊或狀態樹

但 佢並唔會保證資料本身嘅經濟有效性。

調查發現橋合約其實做到以下幾件事：

• 成功驗證 notarized state root
• 成功驗證 Merkle inclusion proof

但 冇檢查該訊息聲稱嘅轉帳金額，是否真係由來源鏈鎖定資產支持。

結果就係：

攻擊者可以構造一個「證明上有效」但實際上冇抵押資產支持嘅跨鏈訊息。

換句話講：

系統證明咗訊息存在，但合約冇驗證呢個訊息是否真係授權提款。

缺失嘅關鍵驗證

安全研究員普遍認為今次屬於典型嘅 business‑logic validation bug（業務邏輯驗證漏洞）。

Ethereum 端橋合約理論上應該核對以下資料：

• 代幣類型
• 轉帳金額
• 接收地址
• 橋資金池嘅帳務狀態

但因為缺少呢個「一致性檢查」，合約容許提取 未被存入資產支持嘅金額。

更誇張係，有研究員指出攻擊者只需要喺 Verus 鏈上花 大約 10 美元 VRSC 手續費，就可以觸發 Ethereum 端價值數百萬美元嘅提款。

由於問題係邏輯驗證而唔係密碼學破壞，開發者據報已經準備 Solidity 修補程式 去堵塞漏洞。

同 Wormhole 與 Nomad 橋攻擊有咩相似

Verus 事件其實延續咗過去幾宗著名跨鏈橋事故嘅模式。

Wormhole（2022）

2022 年 2 月，Wormhole Bridge 被攻擊，黑客繞過簽名驗證流程並鑄造 120,000 枚 wETH，當時價值超過 3.2 億美元。

本質上係系統被欺騙，以為有抵押資產存在。

Nomad（2022）

同年 8 月 Nomad Bridge 因配置錯誤，令訊息幾乎自動被視為有效，最終約 1.9 億美元 資產被大量錢包提走。

Verus 嘅定位

研究員認為 Verus 事件更接近 Nomad：

• 系統接受咗「有效訊息」或證明
• 但 對訊息實際授權內容嘅驗證邏輯出現漏洞。

結果同樣係：

橋資金池出現未有抵押支持嘅提款。

點解跨鏈橋一直係黑客重點目標

跨鏈橋被視為 DeFi 最高風險基礎設施之一，原因係佢結合多個複雜系統：

• 密碼學證明驗證
• 跨鏈訊息傳遞
• 智能合約帳務
• 大量資產儲備

只要任何一個環節嘅驗證流程出現漏洞，就可能導致系統批准 超出抵押資產嘅提款。

Verus 事件再次突顯一個重要原則：

「證明有效」並不等於「轉帳合法」。

智能合約仍然必須嚴格驗證金額、資產、收款人以及會計狀態。

賠償與保險問題

事件初期公開資訊顯示，官方對於資金追回或賠償安排仍未有完整說明。

若資金無法追回，潛在補償可能取決於幾個因素：

• 協議庫存或財庫資金
• DAO 或治理投票決定
• 與攻擊者談判或懸賞
• 第三方 DeFi 保險

呢類事件亦再次引發討論：

橋被攻擊應該被視為智能合約漏洞、基礎設施風險，定係設計缺陷？

呢個分類會直接影響 DeFi 保險是否理賠。

對 DeFi 嘅最大教訓

Verus‑Ethereum 橋漏洞再次提醒業界：

最危險嘅漏洞往往唔係密碼學破壞，而係 細微但關鍵嘅驗證邏輯錯誤。

一個橋可以完美驗證簽名、Merkle 證明同 state root——

但如果合約冇確認證明背後嘅數據 是否真正授權該筆提款，整個系統仍然可能被掏空。

而呢種差異，過去幾年已經令 DeFi 生態系統付出 數十億美元代價。