Mindestens drei wurden in rascher Folge innerhalb eines 6-Stunden-Zeitraums abgezogen, insgesamt mehr als 35 Millionen US-Dollar, so die von CoinDesk ausgewerteten Blockchain-Daten, die von den Sicherheitsfirmen BlockAid und Peckshield gemeldet wurden.
Der Angriffslauf teilt einen gemeinsamen Faden. Keiner durchbrach die zugrunde liegende Kryptografie – jeder war entweder ein Logikfehler, bei dem der Code wie geschrieben lief, die Regeln jedoch trotzdem Geld herausließen, oder ein kompromittierter Schlüssel, der einem Angreifer die Kontrolle übergab, die er niemals hätte haben dürfen.
Am verheerendsten war das Blockchain-Netzwerk Verus. Blockaid entdeckte am frühen Donnerstag eine Schwachstelle in der Verus-Ethereum-Bridge, die etwa 7,54 Millionen US-Dollar in Ether abzog, getokenisiertes Bitcoin und eine Streuung an Stablecoins.
Das Unternehmen wies darauf hin, dass der Angriff den gleichen Bridge-Vertrag und den gleichen Entry-Pfad wie bei einem früheren Hack wiederverwendet hat und dabei eine identische Klasse von Bugs ausnutzte. CoinDesk berichtete über den früheren Vorfall, bei dem im Mai ein Verlust in Höhe von 11,5 Millionen US-Dollar entstand.
Eine Bridge ist ein blockchainbasiertes Tool, das es ermöglicht, dass Vermögenswerte zwischen zwei Netzwerken wechseln können, die sonst nicht miteinander interagieren können. Auf der einen Seite hält sie echte Token und stellt auf der anderen Seite Ansprüche gegen diese bereit. Ihre Sicherheit hängt vollständig davon ab, dass jede Auszahlung korrekt verifiziert wird – als echt abgesichert durch Vermögenswerte, die in der anderen Kette gesperrt sind.
Der Verus-Fehler ermöglichte es einem Angreifer, Auszahlungen auf der Ethereum-Seite auszulösen, die auf der Verus-Seite nie ordnungsgemäß abgesichert waren. So gab die Bridge echtes Geld gegen eine Forderung frei, die fast nichts wert war.
Der Angreifer gab nach dem Angriff im Mai den Großteil der Gelder im Austausch gegen eine Belohnung zurück. Verus deponierte das wiedererlangte Geld dann am 8. Juli erneut in derselben Bridge, wie aus Onchain-Aufzeichnungen hervorgeht, die von Sicherheitsforschern zusammengestellt wurden – und die Bridge wurde zwei Wochen später erneut ausgehöhlt.
Die Kosten dieses Vertrauens sind in den wn-Zahlen des Protokolls sichtbar. Verus hatte laut DefiLlama zu Beginn von 2025 etwa 100 Mio. US-Dollar an Wert nahezu vollständig gesperrt,