Verus Bridge sofre novo ataque e perde US$ 7,5 milhões em hack repetido

O Verus Bridge voltou a ser explorado e perdeu cerca de US$ 7,54 milhões em um ataque registrado na quinta-feira, aproximadamente dois meses após um primeiro incidente que drenou US$ 11,58 milhões do mesmo contrato. A reincidência indica que uma falha de validação já conhecida pode ter permanecido sem correção. A Blockaid informou que o invasor explorou o caminho de importação do bridge para acionar pagamentos na rede Ethereum sem lastro equivalente na blockchain Verus. Entre os ativos drenados estariam ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD. Em publicação de 23 de julho de 2026, a empresa disse ter detectado o exploit no "@VerusCoin Ethereum Bridge" e estimou o prejuízo em aproximadamente US$ 7,54 milhões. Segundo a análise, o contrato aceitava assinaturas válidas e provas de Merkle, mas não confirmava se o valor liberado no destino correspondia ao montante efetivamente comprometido na origem. O problema não estaria ligado a criptografia quebrada, e sim à ausência de uma checagem de valores dentro do contrato. Halborn e Merkle Science chegaram a conclusões semelhantes ao revisar o ataque de maio, associando a vulnerabilidade à função checkCCEValues e a cerca de 10 linhas ausentes de validação em Solidity. A Merkle Science estimou que, no evento anterior, o atacante conseguiu transformar cerca de US$ 10 em taxas de transação de VRSC em um pagamento de US$ 11,58 milhões. A Halborn apontou que até uma transação próxima de 1 centavo poderia cumprir os requisitos de assinatura e prova e, em seguida, levar à liberação de ativos na Ethereum no valor de milhões. O novo ataque teria mirado o mesmo contrato e o mesmo caminho de importação, embora com outra transação, outra carteira atacante e um destino diferente para os fundos desviados. O caso chama atenção porque a segurança de bridges tem melhorado no setor. Dados da Immunefi citados no relatório indicam que hacks em bridges representaram 73% das perdas em DeFi em 2022 e apenas 3% em 2025. Ainda assim, esse avanço não elimina o risco quando uma vulnerabilidade pública permanece sem correção. Até o momento, a Verus não havia divulgado um post-mortem oficial sobre o incidente de quinta-feira. Após o ataque de maio, a Merkle Science recomendou que usuários evitassem o bridge até que a validação defeituosa fosse corrigida e confirmada por uma auditoria independente. Sem confirmação pública de reparo e auditoria, a orientação mais prudente segue sendo manter cautela por parte de usuários e provedores de liquidez.