Verus桥接协议再次遭攻击，第二次重大漏洞导致754万美元被盗

Verus桥接协议再次遭攻击，损失754万美元

一名攻击者从Verus以太坊桥接协议中盗取了约754万美元，这是该协议在两个月内第二次遭遇成功攻击。该漏洞于今年早些时候首次被发现，但并未完全修复，导致桥接协议再次遭受攻击，其跨链机制再次成为目标。

跨链桥风险持续存在

跨链桥允许用户将数字资产锁定在一条区块链上，并在另一条链上发行等值代币，旨在促进加密生态系统内的互操作性。然而，这些桥接协议的资金池中通常持有大量流动性，使其成为网络犯罪分子的诱人目标。验证者的一次失误就可能导致巨额损失。

区块链安全公司Blockaid报告称，Verus攻击事件暴露了一个自2022年以来在多次重大桥接攻击中常见的反复出现的漏洞。攻击者利用桥接协议的资产导入功能，触发了与Verus区块链上实际价值不匹配的以太坊支付。

攻击者瞄准了位于地址0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63的Verus以太坊桥接协议合约，并将被盗资金转移至钱包地址0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54。受影响的资产包括ETH、tBTC、USDC、USDT、EURC、MKR和scrvUSD等。

Etherscan上的区块链记录证实了与攻击者钱包及桥接协议合约相关的攻击交易序列。

重复攻击揭示未修复的漏洞

近期的事件与2026年5月发生的一次类似攻击如出一辙，当时约1158万美元通过几乎相同的方法从同一合约中被盗取。Blockaid的分析发现，被利用的漏洞仍未得到解决，这表明桥接协议的设计和实现存在持续缺陷。

Blockaid的审查发现，两次攻击均利用了同一合约上的相同导入路径，这表明即使在首次攻击后，安全漏洞也未得到修复。

安全公司Halborn和Merkle Science在调查了早期的攻击事件后得出了相同的结论。Halborn的Rob Behnke解释道：“该漏洞并非密码学上的失败，而是缺少一项验证，以确保在Verus链上提交的价值与在以太坊上释放的价值相匹配。”

Merkle Science发现桥接协议代码中存在一项检查不足的问题，具体在其checkCCEValues函数中，该函数允许交易在以太坊上释放远超Verus侧实际锁定价值的资产。这一漏洞使攻击者能够利用极低的交易费用获取不成比例的巨大收益。

Merkle Science指出，该合约未能验证源价值与支付金额是否匹配，从而允许攻击者仅支付少量费用即可提取数百万美元。

这些公司表示，桥接协议的密码学和证明系统均按设计运行，但合约中缺乏适当的价值验证是根本问题。Merkle Science还将这一验证失败与2022年涉及Wormhole和Nomad桥接协议的过往攻击事件联系起来。

术语解释：Verus桥接协议

一种跨链协议，支持Verus区块链与以太坊之间的资产转移，允许用户将代币锁定在一条链上，并在另一条链上铸造相应资产。此类桥接协议的漏洞可能使资金在两条网络上均面临安全风险。

历史攻击案例

桥接协议 | 主要攻击年份 | 损失资金 | 根本原因

Verus | 2026 | 1158万美元 / 754万美元 | 缺少价值验证

Wormhole | 2022 | 3.2亿美元 | 签名验证漏洞

Nomad | 2022 | 1.9亿美元 | 初始化漏洞

桥接协议生态系统及持续风险

尽管历史上桥接攻击在去中心化金融（DeFi）损失中占很大比例，但近期数据表明这一趋势正在下降。TRM Labs的研究显示，尽管2026年上半年发生了创纪录的207起攻击，但总损失从2025年的23亿美元下降到9.72亿美元，攻击中位数金额也降至约21.9万美元。

Immunefi的一份报告支持了这一趋势，指出桥接攻击在2022年占DeFi损失的73%，但到2025年仅占3%，这表明通过更好的审计和设计标准，该领域的安全性有所提高。

然而，Verus的重复攻击事件表明，整体进展并不能弥补个别协议中存在的特定且突出的漏洞。5月份被利用的漏洞仍未解决，这引发了人们对项目维护和审计后续工作的担忧。

截至目前，Verus尚未就最新事件发布事后分析报告。在5月份的攻击事件发生后，Merkle Science建议用户在其有缺陷的验证功能得到修复并经过独立审计之前，避免使用该桥接协议。建议用户在恢复桥接活动之前，等待项目的明确确认。