Bridge Ethereum Verus Kembali Dibobol, Dana US$7,54 Juta Terkuras lewat Jalur Masuk yang Sama

Bridge Ethereum Verus kembali dieksploitasi pada 23 Juli, dengan pelaku menguras sekitar US$7,54 juta dari kontrak bridge yang sama yang sebelumnya diserang pada Mei. Firma keamanan blockchain Blockaid melaporkan aktivitas serangan di jaringan Ethereum pada pukul 03:45 UTC, 23 Juli. Data on-chain menunjukkan sebuah transaksi yang berinteraksi dengan kontrak bridge Verus dan memindahkan sekitar 1.137 ETH serta sejumlah token lain (tBTC, USDC, USDT, EURC, MKR, dan scrvUSD) ke alamat yang dikendalikan penyerang. Etherscan menaksir nilai arus keluar tersebut sekitar US$7,54 juta pada saat kejadian. Kontrak bridge yang menjadi target: 0x71518580f36feceffe0721f06ba4703218cd7f63 Dompet penyerang penerima dana: 0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54 (singkat: 0xCFd0…2D54) Transaksi eksploit (dilaporkan): Menurut Blockaid, pelaku menyalahgunakan "import path" pada bridge untuk memicu pembayaran di sisi Ethereum tanpa dukungan aset yang sepadan di chain sumber. Meski pengurasan pada Juli memakai transaksi dan dompet penyerang yang berbeda dibanding insiden Mei, Blockaid menilai keduanya memiliki kesamaan: "kontrak bridge yang sama, jalur masuk yang sama, dan kelas bug yang sama." Saat peringatan dirilis, laporan teknis lengkap untuk serangan 23 Juli belum dipublikasikan, dan akar masalah spesifiknya masih dalam penyelidikan. Ini menjadi insiden besar kedua yang menimpa bridge Verus dalam beberapa bulan terakhir. Pada Mei, Verus Ethereum Bridge kehilangan sekitar US$11,58 juta setelah adanya celah validasi yang diduga memungkinkan impor lintas-chain palsu lolos verifikasi, sehingga lebih banyak dana dilepas di Ethereum dibanding aset yang benar-benar dikunci di chain sumber. Pasca eksploit tersebut, pelaku mengembalikan 4.052,4 ETH (sekitar US$8,5 juta pada saat itu) berdasarkan ketentuan penyelesaian, dan mempertahankan 1.350 ETH sebagai bounty—sekitar 75% dari kepemilikan ETH pelaku setelah konversi. Insiden Verus pada Juli juga terjadi di tengah rangkaian kasus terkait bridge yang dilaporkan dalam rentang beberapa jam. Pada hari yang sama, AFX Trade diperkirakan mengalami kerugian sekitar US$24,15 juta dan B² Network sekitar US$3,86 juta. Mengacu pada pelacak on-chain Lookonchain, total kerugian yang dilaporkan dari tiga kejadian ini mencapai sekitar US$35,55 juta. Untuk kasus AFX, insiden melibatkan USDC yang diambil dari infrastruktur yang dioperasikan protokol pihak ketiga, lalu dikonversi menjadi ETH. Jembatan lintas-chain harus memvalidasi peristiwa dan nilai di blockchain yang berbeda sekaligus mengelola cadangan bersama. Kesalahan pada validasi pesan, logika kontrak, atau kontrol akses dapat membuat pembayaran on-chain terjadi tanpa setoran yang sesuai di chain sumber. Blockaid menyatakan eksploit Juli "tampak terkait dengan insiden Verus Ethereum Bridge pada Mei 2026," tetapi belum mengonfirmasi apakah kerentanan yang sama digunakan kembali atau ada jalur baru dalam proses impor yang dimanfaatkan. Hingga pelaporan ini, sumber mengonfirmasi dana keluar dari bridge Verus menuju dompet penyerang baru. Belum ada indikasi apakah aset dibekukan, dikembalikan, atau dipulihkan, serta belum ada jadwal pemulihan yang disampaikan. Analisis teknis lanjutan dibutuhkan untuk memastikan apakah celah Mei masih bisa dieksploitasi atau kali ini memakai kelemahan yang berbeda, sekaligus melacak apakah dana curian dikonversi atau dicuci melalui layanan lain. Perkembangan masih berlangsung dan akan diperbarui setelah Blockaid atau Verus merilis rincian teknis tambahan maupun langkah pemulihan.