VerusのEthereumブリッジが再び被害、5月と同じ侵入口から約754万ドル流出

Verus Ethereum Bridgeが7月23日に再び攻撃を受け、5月に被害を受けたのと同じブリッジコントラクトから約754万ドル相当が流出した。 ブロックチェーンセキュリティ企業Blockaidは、7月23日03:45（UTC）にEthereum上での攻撃を検知したと発表。オンチェーン記録では、Verusブリッジコントラクトとの取引を通じて約1,137 ETHに加え、tBTC、USDC、USDT、EURC、MKR、scrvUSDなど複数トークンが攻撃者管理のアドレスへ送られた。Etherscanは当時の流出額を約754万ドルと評価している。 対象のブリッジコントラクトは0x71518580f36feceffe0721f06ba4703218cd7f63。資金を受け取った攻撃者ウォレットは0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54（短縮表記：0xCFd0…2D54）。 Blockaidによると、攻撃者はブリッジの"import"経路を悪用し、ソースチェーン側で対応する資産が裏付けられていないにもかかわらず、Ethereum側の支払いを発生させたという。7月の流出は5月とは異なる取引・ウォレットを用いていたものの、Blockaidは両事案について「同じブリッジコントラクト、同じ侵入口、同種のバグクラス」と説明した。警告時点で7月の詳細な技術報告は公表されておらず、根本原因は調査中としている。 Verusブリッジを巡っては直近数カ月で2度目の大きな被害となる。5月には、検証の不備により偽装されたクロスチェーンのimportが通過し、ソースチェーンでのコミットを上回る資金がEthereum側で解放された可能性があるとして、約1,158万ドル相当が失われた。その後、和解条件の下で攻撃者は4,052.4 ETH（当時約850万ドル）を返還し、報奨金として1,350 ETHを保持した。これは換金後の攻撃者のETH保有分のおよそ75%に相当するとされる。 今回のVerusの事案は、同日内に相次いだブリッジ関連インシデントの一つでもある。オンチェーントラッカーLookonchainによれば、同じ日にAFX Tradeが推定2,415万ドル、B² Networkが約386万ドルの損失を被り、3件合計の報告損失は約3,555万ドルに達した。AFXの事案では、第三者プロトコルが運用するインフラからUSDCが持ち出され、その後ETHに転換されたという。 クロスチェーンブリッジは、複数チェーンにまたがるイベントと価値の整合性を検証しつつ共有準備金を管理する。メッセージ検証、コントラクトロジック、アクセス制御の欠陥は、ソースチェーン側の入金と対応しないままオンチェーン支払いが実行されるリスクにつながる。Blockaidは7月の攻撃について「2026年5月のVerus Ethereum Bridgeのインシデントに関連しているように見える」としつつ、同一脆弱性の再利用か、import工程の別経路を突いた新たな手口かは未確認としている。 報道時点では、資金がVerusブリッジから新たな攻撃者ウォレットへ移動したことは確認された一方、凍結・返還・回収の有無や、復旧のタイムラインは示されていない。5月の欠陥が依然として悪用可能だったのか、今回は別の弱点が使われたのかを特定するには追加の技術分析が必要で、盗難資金の換金や他サービス経由での資金洗浄の有無も追跡が求められる。 本件は続報中で、BlockaidまたはVerusから技術的な詳細や回収対応が公表され次第、更新される見通しだ。