جرى سحب أموال على الأقل من ثلاثة هجمات على نحو متقارب خلال فترة 6 ساعات، بإجمالي يفوق 35 مليون دولار، وفق بيانات بلوك تشين حللتها CoinDesk ونقلتها شركات أمنية BlockAid وPeckshield.
تشترك سلسلة الهجمات في خيط مشترك. لم تُخترق التشفيرات الأساسية — فقد كانت كل هجمة إما ثغرة منطقية، حيث تعمل الشفرة كما هي مكتوبة لكن القواعد ما زالت تسمح بخروج الأموال، أو مفتاحًا تم اختراقه منح المهاجم سيطرة عليه كان ينبغي ألا يمتلكها أبدًا.
كان الأكثر إدانة هو شبكة البلوك تشين Verus. اكتشفت Blockaid استغلالًا على جسر Verus-Ethereum في وقت مبكر من يوم الخميس أدى إلى سحب نحو 7.54 مليون دولار من الإيثر، وتحويل بيتكوين مُرمّزًا إلى رموز، وطرح مجموعة من العملات المستقرة.
أشارت الشركة إلى أن الهجوم أعاد استخدام عقد الجسر نفسه ومسار الدخول ذاته كما في اختراق سابق، مستغلًا فئة مماثلة من الأخطاء. وذكرت CoinDesk وقوع الحادث السابق، الذي أسفر عن خسارة قدرها 11.5 مليون دولار، في مايو.
الجسر هو أداة قائمة على تقنية البلوك تشين تتيح للأصول الانتقال بين شبكتين لا يمكنهما التفاعل مع بعضهما البعض بخلاف ذلك. فهو يحتفظ برموز حقيقية على أحد الجانبين ويصدر مطالبات ضدها على الجانب الآخر، وتعتمد سلامته بالكامل على التحقق بشكل صحيح من أن كل عملية سحب مدعومة فعلًا بأصول مقفلة على السلسلة الأخرى.
سمحت ثغرة Verus للمهاجم بتفعيل المدفوعات على جانب إيثريوم التي لم تكن مدعومة بشكل صحيح على جانب Verus، لذا أطلق الجسر أموالًا حقيقية مقابل مطالبة لا تساوي شيئًا تقريبًا.
عاد المهاجم بمعظم الأموال مقابل مكافأة بعد هجوم مايو. ثم أعاد Verus إيداع الأموال المستردة في الجسر نفسه في 8 يوليو، وفقًا لسجلات onchain التي جمعها باحثون في مجال الأمن، وتم تفريغ الجسر مرة أخرى بعد أسبوعين.
تكلفة هذا الثقة تظهر في أرقام "wn" الخاصة بالبروتوكول. فقد احتفظ Verus بقيمة تقارب 100 مليون دولار من الأصول مقفلة في بداية 2025، بحسب DefiLlama.