Что произошло
22 июля 2026 года из моста между сетями Verus и Ethereum вывели около $7,54 млн. Атакующий воспользовался тем же изъяном, через который этот же мост потерял примерно $11,58 млн 18 мая. Взлом первой заметила компания по безопасности Blockaid, независимо его подтвердила CertiK — по её оценке ущерб составил $7,53 млн.
Детали
Механика простая по сути: мост принимает «импорт» активов из другой сети и выдаёт на стороне Ethereum эквивалент. Атакующий заставил мост сделать выплаты, за которыми не стояло реального обеспечения.
Из резервов вывели ETH, tBTC, USDC, USDT, EURC, MKR и scrvUSD. Всё это тут же обменяли на 3 916,1 ETH и отправили в миксер Tornado Cash — сервис, который рвёт связь между адресом отправителя и получателя.
Ключевое отличие от майского случая — в исходе. Тогда атакующий вернул 4 052 ETH, оставив себе 25% как «вознаграждение белого хакера». Сейчас средства ушли в миксер, и это другой кошелёк и, судя по разбору The Block, другой человек. То есть дыру, о которой знали два месяца, нашёл и использовал кто-то посторонний.
Атака была не единственной: по подсчёту CoinDesk, за несколько часов 22–23 июля протоколы, связанные с биткоином и Ethereum, потеряли в сумме около $35 млн. Команда Verus на запрос The Block о комментарии на момент публикации не ответила.
Что это значит
Это касается всех, у кого активы лежат в мостах между сетями, — не только пользователей Verus. Мост по своей природе хранит запас монет в одном контракте, и этот запас — постоянная мишень.
Конкретный масштаб: два взлома одной и той же уязвимости за два месяца дали в сумме около $19,1 млн. В мае деньги в основном вернулись, сейчас — нет: после Tornado Cash возврат почти невозможен. Считать, что «в прошлый раз обошлось, значит и сейчас обойдётся», не стоит.
Горизонт — сегодняшний. Пока команда Verus публично не подтвердила исправление и не показала аудит, держать средства в этом мосту рискованно. Общий вывод шире: мост — это транзит, а не хранилище. Перевели активы — уводите их на свой аппаратный кошелёк, не оставляйте «на потом».
Контекст
Это второй громкий случай за неделю. 20 июля мы разбирали, как через флеш-займ вывели $1,65 млн из моста Allbridge Core — там команда тоже поставила сеть на паузу уже после факта.
