Verus-Ethereum-Bridge wird für 11,6 Millionen US-Dollar per gefälschter Überweisungsnachricht ausgenutzt

Das Ethereum-Bridge von Verus Protocol wurde am Montag über eine gefälschte Cross-Chain-Transfer-Nachricht ausgenutzt, sodass ein Hacker mindestens 11,58 Millionen US-Dollar in Kryptowährung betrügerisch abziehen konnte. Die Onchain-Sicherheitsplattform Blockaid identifizierte die laufende Ausnutzung und dokumentierte eine Transaktion, die einen Transfer von 1.625 Ether (ETH), 147.659 USDC und 103,57 tBTC v2 zeigte, im Wert von über 11,5 Millionen US-Dollar. Die gestohlenen Mittel wurden inzwischen in Ether umgewandelt; das Wallet des Angreifers weist einen Saldo von 5.402 Ether auf, im Gegenwert von etwa 11,4 Millionen US-Dollar laut Etherscan. Der Blockchain-Sicherheitsdienst PeckShield bestätigte den Transfer als Exploit. Der Vorfall spiegelt einen umfassenderen Trend von DeFi-Schwachstellen wider: Kryptowährungs-Hacker stahlen im ersten Quartal 2026 mehr als 168,6 Millionen US-Dollar aus 34 dezentralen Finanzprotokollen, wobei April zwei der größten Angriffe des Jahres markierte – den 280 Millionen US-Dollar schweren Exploit von Drift Protocol und den 292 Millionen US-Dollar schweren Kelp-Exploit.

Exploit-Details

Das Erkennungssystem von Blockaid identifizierte den Exploit am Montag und teilte Transaktionsdaten auf Etherscan. Zu den gestohlenen Assets gehörten 1.625 ETH, 147.659 USDC und 103,57 tBTC v2. PeckShield bestätigte den Transfer als Exploit; Onchain-Daten zeigen, dass die Gelder in 5.402 Ether im Wallet des Angreifers umgewandelt wurden.

Technische Analyse

Blockaid erklärte, der Vorfall bei Verus Protocol ähnele dem Nomad-Bridge-Exploit im Wert von 190 Millionen US-Dollar sowie dem Wormhole-Exploit im Wert von 325 Millionen US-Dollar aus dem Jahr 2022. Der Angreifer nutzte die Bridge aus, indem er das Protokoll dazu brachte, zu glauben, dass Transferanweisungen echt seien, wodurch die Bridge Gelder aus ihren Reserven an das Wallet des Angreifers sendete.

Blockaid identifizierte die Hauptursache als eine fehlende Validierung der Source-Amount in checkCCEValues, für deren Behebung ungefähr 10 Zeilen Solidity-Code erforderlich seien. Das Sicherheitsunternehmen betonte, dass dies „KEIN ECDSA-Bypass“ sei. „KEIN Notary-Key-Compromise“. „KEIN Parser-/Hash-Binding-Fehler.“

Der Blockchain-Sicherheitsanbieter ExVul kam zu einer ähnlichen Schlussfolgerung und erklärte, der Angreifer habe eine „gefälschte Cross-Chain-Import-Payload“ verwendet, die den „Verifikations-Flow der Bridge“ passierte und zu „drei vom Angreifer angehängten Transfers an das Drainer-Wallet“ führte.

Sicherheits-Empfehlungen

ExVul empfahl, dass „Cross-Chain-Import-Proofs jede nachgelagerte Transferwirkung an authentifizierte Payload-Daten binden müssen, bevor sie ausgeführt wird.“ Der Sicherheitsanbieter riet Bridges, „strikte Payload-zu-Execution-Validierung hinzuzufügen, Defense-in-Depth rund um die Proof-Verifikation zu implementieren und Outbound-Flows bei Erkennung anomalischer Imports anzuhalten.“

Verwandte Vorfälle

Der Verus-Exploit folgt auf die Bestätigung von THORChain am Samstag, dass es einen 10 Millionen US-Dollar schweren Exploit erlitten habe. Der Vorfall ist Teil eines eskalierenden Musters von DeFi-Angriffen in 2026.