Exploit ponte Verus Ethereum: falla nota non corretta, altri $7,54 milioni rubati

Una notizia importante fa rumore nell’ecosistema blockchain. Due attacchi in meno di due mesi, la stessa falla, quasi venti milioni di dollari complessivamente sottratti. Il secondo exploit del ponte Verus-Ethereum non è solo un furto da 7,54 milioni di dollari: è la prova che una vulnerabilità nota era rimasta aperta, e che qualcuno ha aspettato il momento giusto per sfruttarla di nuovo. Punti chiave Il ponte Verus-Ethereum è stato colpito per la seconda volta in due mesi, con un furto da circa 7,54 milioni di dollari in ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD.

L’attacco ha sfruttato lo stesso contratto, lo stesso percorso di ingresso e la stessa classe di vulnerabilità dell’exploit di maggio da 11,5 milioni di dollari. Il primo attaccante aveva restituito 4. 052,4 ETH trattenendo il 25% come bounty white-hat; quei fondi erano stati reimmessi nel ponte l’8 luglio.

Dinamiche di mercato

Il secondo attacco è opera di un soggetto diverso, con un nuovo wallet, che ha convertito in ETH tutto il bottino. Blockaid ha rilevato l’exploit e confermato la medesima classe di vulnerabilità in entrambi gli incidenti. Secondo exploit sul ponte Verus-Ethereum: cosa è successo L’allarme è arrivato da Blockaid, la società di sicurezza blockchain che ha rilevato l’attacco e ricostruito il meccanismo.

Un attaccante ha abusato del percorso di importazione del ponte per generare pagamenti sul lato Ethereum non coperti da asset reali sul lato Verus. In sostanza, il bridge ha rilasciato token veri a fronte di richieste quasi prive di valore. Il risultato: circa 7,54 milioni di dollari drenati in ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD, poi rapidamente convertiti in ETH.

Quello che rende questo episodio particolarmente grave non è l’importo — significativo, ma non eccezionale nel panorama degli attacchi DeFi — bensì il contesto. La stessa infrastruttura, lo stesso vettore d’attacco, la stessa classe di bug già documentata a maggio. La vulnerabilità non era un’incognita.

Impatto sui mercati

Il confronto con l’attacco di maggio e il profilo degli aggressori Il primo exploit era avvenuto il 18 maggio, drenando circa 11,5 milioni di dollari convertiti in circa 5. Quell’attaccante, a differenza del secondo, aveva poi scelto una strada insolita: restituire la maggior parte dei fondi. Aveva trattenuto il 25% come bounty white-hat e restituito 4.

Il team di Verus aveva quindi reimmesso quei fondi nel ponte l’8 luglio. Due settimane dopo, il ponte è stato svuotato di nuovo. Il secondo attaccante è un soggetto completamente diverso, con un wallet nuovo, e non ha mostrato alcuna intenzione di restituire quanto sottratto.

Blockaid ha confermato che i due attacchi condividono contratto, percorso di ingresso e classe di vulnerabilità, ma gli autori non hanno alcun legame accertato. La vulnerabilità nel percorso di importazione: come funziona l’attacco Il meccanismo alla base di entrambi gli exploit è lo stesso: il percorso di importazione del ponte può essere manipolato per innescare pagamenti sul lato Ethereum che non corrispondono ad asset bloccati sull’altro lato della catena. È una falla logica, non crittografica — il codice funzionava come scritto, ma le regole permettevano comunque l’uscita di denaro reale.

I mercati delle criptovalute seguono da vicino questo sviluppo, mentre gli investitori valutano il potenziale impatto sui prezzi.