Bridge Verus na Ethereum é explorada novamente e perde US$ 7,54 milhões pelo mesmo vetor de entrada

A Verus Ethereum Bridge voltou a ser alvo de exploração nesta quarta-feira, 23 de julho, com uma saída estimada em US$ 7,54 milhões a partir do mesmo contrato do bridge atingido em maio. A empresa de segurança Blockaid identificou a atividade na Ethereum às 03:45 UTC. Registros on-chain mostram uma transação interagindo com o contrato do bridge da Verus que transferiu cerca de 1.137 ETH e diversos tokens — tBTC, USDC, USDT, EURC, MKR e scrvUSD — para um endereço controlado pelo atacante. No momento do evento, o Etherscan estimou o valor total das saídas em aproximadamente US$ 7,54 milhões. Contrato do bridge afetado: 0x71518580f36feceffe0721f06ba4703218cd7f63 Carteira que recebeu os fundos: 0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54 (abreviado: 0xCFd0…2D54) Transação de exploração (reportada): Segundo a Blockaid, o invasor teria abusado do caminho de importação (import path) do bridge para acionar pagamentos do lado da Ethereum sem lastro correspondente de ativos na cadeia de origem. Embora o episódio de julho envolva uma transação diferente e outra carteira controlada pelo atacante em relação ao incidente de maio, a Blockaid afirma que os dois casos têm em comum "o mesmo contrato de bridge, o mesmo caminho de entrada e a mesma classe de bug". Até o momento do alerta, não havia sido publicado um relatório técnico completo sobre o ataque de julho, e a causa raiz seguia em apuração. O episódio é o segundo grande incidente envolvendo a Verus Ethereum Bridge em poucos meses. Em maio, o bridge perdeu cerca de US$ 11,58 milhões após uma suposta falha de validação permitir que uma importação cross-chain forjada passasse na verificação, liberando na Ethereum mais fundos do que os comprometidos na cadeia de origem. Depois desse ataque, o explorador devolveu 4.052,4 ETH (cerca de US$ 8,5 milhões na época) sob termos de acordo, mantendo 1.350 ETH como "bounty" — aproximadamente 75% das posições em ETH do atacante após conversão. O ataque de julho à Verus ocorreu em meio a outras ocorrências envolvendo bridges reportadas com poucas horas de diferença. No mesmo dia, a AFX Trade teve uma perda estimada em US$ 24,15 milhões e a B² Network, cerca de US$ 3,86 milhões. Juntas, as três ocorrências somaram perdas reportadas de aproximadamente US$ 35,55 milhões, de acordo com o rastreador on-chain Lookonchain. No caso da AFX, o incidente envolveu USDC retirado de infraestrutura operada por um protocolo de terceiros e posteriormente convertido em ETH. Bridges cross-chain precisam validar eventos e valores entre blockchains distintas enquanto administram reservas compartilhadas. Falhas na validação de mensagens, na lógica de contratos ou em controles de acesso podem permitir pagamentos on-chain sem que exista depósito correspondente na cadeia de origem. A Blockaid disse que o exploit de julho "parece relacionado ao incidente anterior da Verus Ethereum Bridge em maio de 2026", mas não confirmou se a mesma vulnerabilidade foi reutilizada ou se houve um novo caminho no processo de importação. Até a publicação, fontes confirmaram que os fundos saíram do bridge da Verus para a nova carteira do atacante, sem indicação de congelamento, devolução ou recuperação de ativos, nem prazo de correção. Uma análise técnica adicional será necessária para determinar se a falha de maio continuava explorável ou se uma fraqueza distinta foi usada desta vez, além de monitorar se os valores serão convertidos ou lavados por outros serviços. O caso segue em desenvolvimento e será atualizado conforme a Blockaid ou a Verus divulguem mais detalhes técnicos ou ações de recuperação.