Verus-Ethereum bridge bị khai thác khoảng 11,5 triệu USD sau khi kẻ tấn công dùng bằng chứng Merkle giả.
Vụ việc làm gia tăng áp lực lên hạ tầng cầu nối cross-chain, vốn tiếp tục là mục tiêu có giá trị cao vì nắm giữ lượng tài sản khóa lớn. Tính đến năm 2026, tổng thiệt hại từ các vụ khai thác bridge đã lên khoảng 328,6 triệu USD.
- Kẻ tấn công rút khoảng 103,6 tBTC, 1.625 ETH và 147.000 USDC từ bridge Verus-Ethereum.
- Khoản tiền bị đánh cắp được hoán đổi thành 5.402,4 ETH, tương đương khoảng 11,4 triệu USD.
- Đây là vụ khai thác bridge mới nhất trong năm, khi thiệt hại cộng dồn đã lên khoảng 328,6 triệu USD.
Cách vụ khai thác diễn ra
PeckShield cho biết kẻ tấn công đã rút 103,6 tBTC, 1.625 ETH và 147.000 USDC từ hợp đồng bridge, sau đó đổi số tài sản này thành 5.402,4 ETH, trị giá khoảng 11,4 triệu USD. Blockaid cũng là một trong các bên xác nhận đã phát hiện vụ việc.
Hiện số tiền đã chuyển đổi được cho là vẫn nằm trong một ví duy nhất tại địa chỉ 0x65Cb8b128Bf6e690761044CCECA422bb239C25F9. Blockaid còn xác định được ví EOA của kẻ tấn công và công bố hash của giao dịch khai thác.
Lỗi nằm ở bước kiểm tra nào?
Blockaid cho rằng bridge đã xác minh đúng các state root có chữ ký hợp lệ từ 8 trong 15 notary, nhưng lỗ hổng nằm ở phần kiểm tra sau bước xác minh này. Nói cách khác, hệ thống vẫn có thể bị lách qua dù khâu xác thực ban đầu đạt yêu cầu.
Cos, nhà sáng lập SlowMist và là người dùng X với tên @evilcos, cũng nhận định khả năng cao kẻ tấn công đã tạo bằng chứng Merkle giả để vượt qua xác minh của cầu nối Verus Ethereum. Ông nói thêm rằng các chi tiết cụ thể vẫn cần được kiểm chứng thêm.
Verus vừa phát hành bản vá khẩn cấp trước đó hai ngày
Verus được cho là đã phát hành bản cập nhật khẩn cấp và bắt buộc, phiên bản 1.2.14-2, chỉ hai ngày trước khi xảy ra vụ khai thác. Bản cập nhật này được mô tả là nhằm sửa một lỗ hổng.
Dù vậy, hiện chưa rõ lỗ hổng đã được vá có liên quan trực tiếp đến điểm bị khai thác hay không. Verus cũng chưa công khai phản hồi về sự cố tại thời điểm thông tin được ghi nhận.
Bridge vẫn là mục tiêu rủi ro lớn trong DeFi
Theo thống kê của PeckShield, năm nay đã có tám vụ khai thác lớn liên quan đến bridge, với tổng thiệt hại khoảng 328,6 triệu USD. Vụ Verus-Ethereum bridge là diễn biến mới nhất trong chuỗi sự cố này.
Bridge thường bị nhắm đến vì nắm giữ lượng tài sản khóa lớn, trong khi chỉ một lỗi xác minh cũng có thể mở đường cho việc rút toàn bộ tài sản trong pool. Đây là lý do nhóm hạ tầng cross-chain tiếp tục nằm trong nhóm rủi ro cao của thị trường.
Tính đến thời điểm xảy ra vụ việc, VRSC là token gốc của mạng Verus, giao dịch quanh mức 0,75 USD với vốn hóa hơn 60 triệu USD.
Tổng kết
Vụ khai thác Verus-Ethereum bridge cho thấy rủi ro kỹ thuật của hạ tầng cầu nối cross-chain vẫn chưa giảm, trong khi tổng thiệt hại từ các vụ bridge hack trong năm đã tiến sát 329 triệu USD.
