Cầu Verus-Ethereum bị khai thác - Rút sạch 11,58 triệu đô la

Một cầu chuỗi chéo khác lại sụp đổ. Cầu Verus-Ethereum đã bị tấn công vào ngày 17–18 tháng 5 trong một cuộc tấn công chuyển giao chuỗi chéo giả mạo, với kẻ tấn công rút ra khoảng 11,58 triệu đô la tiền điện tử.

Những gì bị đánh cắp: 103,6 tBTC + 1.625 ETH + khoảng 147.000 USDC

Kẻ tấn công đã đổi tất cả thành 5.402 ETH (~11,4 triệu đô la) và gửi vào một ví duy nhất. Nguồn vốn đến từ Tornado Cash khoảng 14 giờ trước khi rút — một thiết lập tiền đề cho cuộc tấn công theo sách giáo khoa.

Nguyên nhân gốc rễ (phần quan trọng):
Đây KHÔNG phải là vi phạm khóa, bỏ qua chữ ký, hoặc va chạm hàm băm. Theo Blockaid, đó là do thiếu xác thực nguồn-số lượng, cầu đã xác minh đúng các bằng chứng Merkle và các gốc trạng thái, nhưng chưa bao giờ kiểm tra xem giao dịch chuỗi nguồn có thực sự đảm bảo khoản thanh toán bằng giá trị thực hay không.

Nói đơn giản: kẻ tấn công đã tiêu tốn khoảng 10 đô la phí để giả mạo ra 11,5 triệu đô la. Cùng loại lỗ hổng như các vụ hack Nomad (190 triệu đô la) và Wormhole (325 triệu đô la) năm 2022.

Tóm tắt CryptoPatel:
Các cầu vẫn là điểm yếu nhất của DeFi. "Xác minh bằng mật mã" ≠ "xác minh về mặt kinh tế." Trước khi chuyển đổi tài sản qua cầu, hãy kiểm tra lịch sử kiểm toán của giao thức và đừng để số tiền lớn nằm không hoạt động trên hợp đồng cầu.

Đội ngũ Verus chưa chính thức xác nhận, các số liệu lấy từ Blockaid, PeckShield & ExVul.

Hãy giữ an toàn. LUÔN TỰ NGHIÊN CỨU.