Un aggressore del bridge Verus-Ethereum (ETH) ha svuotato 103,6 tBTC, 1.625 ether e 147.000 USD Coin (USDC) lunedì, scambiando il bottino per oltre 11 milioni di dollari.
Dettagli dell'exploit sul bridge Verus
L'aggressore si è mosso contro il bridge cross-chain che consente agli utenti di trasferire valore tra la rete Verus ed Ethereum, inclusi ETH e asset ERC-20, ha riportato CoinDesk.
La società di analisi blockchain PeckShield ha segnalato l'incidente sui social media. L'exploiter in seguito ha scambiato i token rubati per 5.402,4 ETH e ora detiene i proventi all'indirizzo 0x65Cb8b128Bf6e690761044CCECA422bb239C25F9.
Il tBTC rubato è il Bitcoin tokenizzato (BTC) della Threshold Network. Verus aveva pubblicizzato il suo bridge come una soluzione non-custodial supportata da prove crittografiche da parte di miner e staker, diversa dalle configurazioni multisig che sono fallite in attacchi passati.
Leggi anche: XRP ETFs Hit Record $1.39B But Token Loses 4th Spot To BNB
Gli attacchi ai bridge continuano ad accumularsi
L'exploit di lunedì rientra in uno schema ormai noto. Gli aggressori continuano a colpire l'infrastruttura che collega le chain piuttosto che gli smart contract che girano al di sopra di essa.
L'exchange crypto Phemex ha osservato che le due perdite più grandi dell'anno, il drain del Protocollo Drift da 285 milioni di dollari ad aprile e la violazione da 292 milioni di dollari di Kelp DAO nello stesso mese, sono entrambe riconducibili a componenti cross-chain. Quattro dei piccoli exploit del 2026 hanno ugualmente preso di mira infrastrutture legate ai bridge.
«Non è una coincidenza, e riflette il modello storico secondo cui gli exploit sui bridge producono costantemente le perdite individuali più grandi in qualsiasi anno», ha affermato l'exchange.
Rischio cross-chain nel 2026
I bridge restano il bersaglio più vulnerabile del crypto nel 2026. L'attacco a Kelp DAO in aprile che ha sfruttato il sistema di messaggistica cross-chain di LayerZero ha rilasciato 116.500 rsETH a un wallet controllato dall'aggressore, causando danni a catena su circa 20 reti in cui il collateral in ether wrappato è rimasto bloccato.
La perdita di 285 milioni di dollari di Drift il 1° aprile non è dipesa da un bug nel codice ma da chiavi di amministrazione compromesse, con i fondi rubati trasferiti su Ethereum tramite il Cross-Chain Transfer Protocol di Circle prima del riciclaggio. Le perdite complessive in DeFi avevano già superato i 750 milioni di dollari a metà aprile, secondo i dati di DefiLlama e PeckShield, con l'hack da 552 milioni di dollari della Ronin Network del 2022 che rimane ancora uno dei più grandi nella storia del settore.
Da leggere dopo: Hyperliquid Rejects Wall Street's Manipulation Claims As HYPE Drops 14%