สะพาน Verus บน Ethereum ถูกโจมตีซ้ำ เงินไหลออก 7.54 ล้านดอลลาร์ ผ่านช่องทางเดิม

สะพาน Verus Ethereum Bridge ถูกโจมตีอีกครั้งเมื่อวันที่ 23 กรกฎาคม โดยผู้โจมตีดูดเงินออกไปราว 7.54 ล้านดอลลาร์ จากสัญญา bridge เดิมที่เคยถูกเจาะเมื่อเดือนพฤษภาคม Blockaid บริษัทด้านความปลอดภัยบล็อกเชนแจ้งเตือนเหตุโจมตีบน Ethereum เวลา 03:45 UTC ของวันที่ 23 กรกฎาคม ข้อมูลบนเชนพบธุรกรรมที่โต้ตอบกับสัญญา Verus bridge และโอนออกประมาณ 1,137 ETH พร้อมโทเคนหลายรายการ ได้แก่ tBTC, USDC, USDT, EURC, MKR และ scrvUSD ไปยังกระเป๋าที่ผู้โจมตีควบคุม โดย Etherscan ประเมินมูลค่ากระแสเงินออก ณ เวลานั้นราว 7.54 ล้านดอลลาร์ สัญญา bridge ที่ได้รับผลกระทบ: 0x71518580f36feceffe0721f06ba4703218cd7f63 กระเป๋าผู้โจมตีที่รับเงิน: 0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54 (ย่อ: 0xCFd0…2D54) ธุรกรรมที่ถูกรายงาน: Blockaid ระบุว่าผู้โจมตีอาศัยช่องทาง import ของ bridge เพื่อกระตุ้นการจ่ายเงินฝั่ง Ethereum ทั้งที่ไม่มีสินทรัพย์ฝั่งเชนต้นทางรองรับ แม้เหตุการณ์เดือนกรกฎาคมจะเป็นคนละธุรกรรมและคนละกระเป๋าผู้โจมตีกับเหตุเดือนพฤษภาคม แต่ Blockaid มองว่าทั้งสองเคสอยู่ในกรอบเดียวกัน คือ "สัญญา bridge เดิม ช่องทางเข้าเดิม และคลาสบั๊กเดียวกัน" ณ เวลาที่มีการแจ้งเตือน ยังไม่มีรายงานเชิงเทคนิคฉบับเต็มเกี่ยวกับการโจมตีเดือนกรกฎาคม และสาเหตุรากยังอยู่ระหว่างการสอบสวน เหตุการณ์นี้นับเป็นการถูกโจมตีครั้งใหญ่ครั้งที่สองในช่วงไม่กี่เดือนที่ผ่านมา โดยเดือนพฤษภาคม Verus Ethereum Bridge สูญเงินราว 11.58 ล้านดอลลาร์ จากช่องโหว่ด้านการตรวจสอบความถูกต้องที่ถูกกล่าวหาว่าเปิดทางให้การ import ข้ามเชนที่ถูกปลอมผ่านการตรวจสอบ ทำให้มีการปล่อยเงินฝั่ง Ethereum มากกว่าที่ถูกผูกมัดไว้บนเชนต้นทาง หลังเหตุการณ์ดังกล่าว ผู้โจมตีคืน 4,052.4 ETH (มูลค่าราว 8.5 ล้านดอลลาร์ในขณะนั้น) ภายใต้เงื่อนไขการตกลง และเก็บ 1,350 ETH เป็นค่าตอบแทน ซึ่งคิดเป็นราว 75% ของการถือครอง ETH ของผู้โจมตีหลังการแปลงสินทรัพย์ ในภาพรวม เหตุโจมตี Verus เดือนกรกฎาคมเกิดขึ้นพร้อมเหตุการณ์ที่เกี่ยวข้องกับ bridge อีกหลายเคสภายในไม่กี่ชั่วโมง วันเดียวกัน AFX Trade ถูกประเมินว่าสูญเงินราว 24.15 ล้านดอลลาร์ และ B² Network ราว 3.86 ล้านดอลลาร์ ทำให้ความเสียหายรวมที่ถูกรายงานจากทั้งสามเหตุการณ์อยู่ที่ประมาณ 35.55 ล้านดอลลาร์ ตามข้อมูลของ Lookonchain โดยกรณี AFX เกี่ยวข้องกับ USDC ที่ถูกนำออกจากโครงสร้างพื้นฐานซึ่งดำเนินการโดยโปรโตคอลบุคคลที่สาม ก่อนถูกแปลงเป็น ETH ในภายหลัง ประเด็นสำคัญคือ bridge ข้ามเชนต้องตรวจสอบเหตุการณ์และมูลค่าระหว่างบล็อกเชนที่แยกจากกัน ในขณะเดียวกันต้องดูแลทุนสำรองที่ถูกใช้ร่วมกัน ความผิดพลาดในกระบวนการตรวจสอบข้อความ ตรรกะสัญญา หรือการควบคุมสิทธิ์ อาจทำให้เกิดการจ่ายเงินบนเชนได้โดยไม่มีเงินฝากที่สอดคล้องจากเชนต้นทาง Blockaid ระบุว่าเหตุเดือนกรกฎาคม "ดูเหมือนเกี่ยวข้องกับเหตุ Verus Ethereum Bridge เดือนพฤษภาคม 2026" แต่ยังไม่ยืนยันว่าเป็นการใช้ช่องโหว่เดิมซ้ำ หรือเป็นเส้นทางใหม่ในกระบวนการ import ขณะรายงาน แหล่งข่าวยืนยันว่ามีเงินออกจาก Verus bridge ไปยังกระเป๋าผู้โจมตีรายใหม่จริง แต่ยังไม่มีข้อมูลว่าสินทรัพย์ใดถูกอายัด คืนกลับ หรือกู้คืนได้ รวมถึงยังไม่มีกรอบเวลาการแก้ไขปัญหาที่ชัดเจน จำเป็นต้องมีการวิเคราะห์เชิงเทคนิคเพิ่มเติมเพื่อชี้ว่า ช่องโหว่เดือนพฤษภาคมยังถูกใช้โจมตีได้หรือไม่ หรือครั้งนี้เป็นจุดอ่อนคนละจุด รวมถึงติดตามว่าทรัพย์สินที่ถูกขโมยถูกแปลงหรือเคลื่อนย้ายผ่านบริการอื่นเพื่อฟอกเงินหรือไม่ ข่าวนี้ยังอยู่ระหว่างพัฒนา และจะอัปเดตเมื่อ Blockaid หรือ Verus เปิดเผยรายละเอียดเชิงเทคนิคหรือมาตรการกู้คืนเพิ่มเติม