Verus 以太坊跨鏈橋再遭攻擊 同一入口路徑被重用、損失約754萬美元

Verus Ethereum Bridge 於7月23日再度被入侵，攻擊者從今年5月曾中招的同一條跨鏈橋合約中轉走約754萬美元資產。 區塊鏈安全公司 Blockaid 指出，攻擊於7月23日03:45（UTC）在以太坊鏈上被偵測到。鏈上紀錄顯示，有交易與 Verus 跨鏈橋合約互動，將約1,137枚ETH及多種代幣（tBTC、USDC、USDT、EURC、MKR、scrvUSD）轉至攻擊者控制的地址。按 Etherscan 當時估值，外流資產約為754萬美元。 涉事跨鏈橋合約：0x71518580f36feceffe0721f06ba4703218cd7f63 接收資金的攻擊者錢包：0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54（簡寫：0xCFd0…2D54） Blockaid 表示，攻擊者疑似濫用跨鏈橋的 import 流程入口，觸發以太坊端的付款，但來源鏈上並無相對應資產作支撐。雖然今次7月的資金外流涉及不同交易及不同攻擊者錢包，Blockaid 形容兩次事件同樣屬於「同一橋合約、同一入口路徑、同一類漏洞」。截稿時，Blockaid 尚未公布完整技術報告，確切根因仍在調查。 這是 Verus 跨鏈橋近月第二次重大事故。今年5月，Verus Ethereum Bridge 曾損失約1,158萬美元，據稱因驗證環節出現缺口，令偽造的跨鏈 import 得以通過驗證，導致以太坊端釋放的資金多於來源鏈實際承諾。其後在和解條款下，攻擊者歸還4,052.4枚ETH（當時約850萬美元），並保留1,350枚ETH作為賞金，約相當於其把所得資產換算成ETH後持有量的75%。 市場層面，Lookonchain 指出，7月23日數小時內亦出現多宗跨鏈橋相關事件：AFX Trade 估計損失2,415萬美元，B² Network 約386萬美元，連同 Verus 事件合計約3,555萬美元。AFX 個案涉及從第三方協議營運的基礎設施抽走USDC，之後再兌換成ETH。 跨鏈橋需要在不同區塊鏈之間核對事件與數值，同時管理共享資金池。一旦訊息驗證、合約邏輯或存取控制出錯，便可能出現來源鏈未有相應存入、以太坊端卻已放款的情況。Blockaid 指今次7月攻擊「似乎與2026年5月 Verus Ethereum Bridge 事故有關」，但尚未確認是否重用同一漏洞，或是透過 import 流程中的新路徑觸發。 截至發稿，消息僅確認資金已由 Verus 跨鏈橋流向新的攻擊者地址，未有跡象顯示相關資產已被凍結、歸還或追回，亦未提供修復時間表。後續仍需更多技術分析，以判斷5月缺陷是否仍可被利用、抑或今次屬不同弱點，並追蹤被盜資金是否經其他服務兌換或清洗。事件仍在發展中，將按 Blockaid 或 Verus 後續披露的技術細節及追討行動更新。