河北
周四，一名攻击者成功从Verus以太坊桥窃取了约754万美元。这是大约两个月内第二次有人利用该桥的漏洞成功实施攻击。看来今年早些时候发现的漏洞从未被完全修复。这说明一些已知漏洞仍在持续威胁跨链系统。
跨链桥允许用户在一个区块链上锁定资产，然后在另一条链上发行等值代币。然而，大多数桥都包含极其庞大的共享流动性池。因此，验证节点的一个小失误就可能造成数百万美元的损失。据区块链网络安全公司Blockaid称，Verus攻击中似乎也发生了同样的情况，同类型的漏洞正是自2022年以来多起最大加密桥黑客事件的幕后元凶。
同一合约再次遭袭
据Blockaid称，攻击者利用了该桥的入账机制，触发了与Verus区块链上实际价值不符的以太坊相关转账。黑客成功窃取了包括ETH、tBTC、USDC、USDT、EURC、MKR和scrvUSD在内的资产，按价值计算总损失达到约754万美元。
此次攻击的目标是Verus以太坊桥协议合约（地址：0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63），资金则被追踪至黑客钱包（地址：0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54）。
区块链上的证据可以直接在 Etherscan 上查看。这包括桥接合约、攻击者钱包以及利用漏洞的那笔交易。
这起事件特别值得注意，因为它和 2026 年 5 月发生的另一起事件——Verus 跨链桥被黑，损失了 1158 万美元——非常像。Blockaid 表示，两次攻击都通过相同的入口路径攻击了同一个合约，这意味着该漏洞尚未修复。
为什么这个漏洞花几毛钱就能套出几百万
安全公司 Halborn 和 Merkle Science 在分析了之前那次攻击后，也得出了同样的结论。
“该漏洞并非加密故障，而是缺少了一项验证机制，用来确保在Verus链上提交的数值和在以太坊上释放的数值对得上。” — Rob Behnke, Halborn
据Halborn称，哪怕一笔只值大约1美分的交易，也能通过跨链桥所有的签名和Merkle证明验证，然后触发以太坊智能合约执行这笔交易，释放出价值数百万美元的资产。
据Merkle Science称，该问题的原因定位到了跨链桥代码中的checkCCEValues函数。
“该桥未能验证源值与目标支付金额是否匹配，让攻击者只花一点点手续费就能提走数百万资金。” — Mir Jalal，Merkle Science
该公司认为，问题源于大约10行缺失的Solidity验证代码，让攻击者把价值约10美元的VRSC交易手续费变成了1158万美元的赔付。
两家公司明确表示，该桥的密码学机制和验证证明都运转正常。然而，真正的问题在于，合约没有验证在以太坊上释放的价值是否有Verus链上的资产作为支撑。Merkle Science指出，2022年Wormhole和Nomad桥被攻击的事件，也是同一种验证失效导致的。
对于曾以为跨链桥更安全的这个市场，这意味着什么
Verus事件发生之际，加密社区其他领域的跨链桥攻击损失已有所减少。
根据TRM Labs收集的数据，针对加密货币的网络攻击总数已达207起，创下了六个月时间段内的最高纪录。但与此同时，2025年同期总损失从23亿美元降至9.72亿美元，而目前单次黑客攻击金额的中位数已降至约21.9万美元。
过去几年，跨链桥的安全性也有所提升。根据Immunefi的一份报告，2022年与跨链桥黑客攻击相关的DeFi损失占比为73%，但到2025年该数字已降至仅3%。这表明市场整体的审计水平和跨链桥设计质量已显著提升。
尽管如此，Verus 的漏洞事件表明，整个行业的进步并不能弥补现有未解决的漏洞。一个在五月漏洞事件后首次被揭露的问题似乎再次被利用，这也进一步强化了这样一种观点：解决已知漏洞远比假设它们不再有风险重要得多。
Verus 尚未发布关于周四事件的官方复盘报告。在五月份的事件之后，Merkle Science 要求用户暂停使用该跨链桥，直到有缺陷的验证问题得到解决，并获得独立审计方的正式认可。在项目能够确认这项工作已完成之前，用户应保持警惕，远离跨链桥转账操作。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
