Die Verus Ethereum Bridge steht nach einem großen Exploit unter Druck, bei dem inzwischen mehr als 11,5 Millionen US-Dollar an Kryptowährungen gestohlen wurden. Die Sicherheitsunternehmen Blockaid und PeckShield schlugen Alarm, nachdem große Mengen an ETH, tBTC und USDC aus dem Bridge-Protokoll verschwunden waren.
Laut ersten Analysen gelang es dem Angreifer, eine Schwachstelle bei der Verifizierung von Cross-Chain-Transaktionen auszunutzen. Der Exploit ähnelt damit stark früheren großen Bridge-Hacks wie Wormhole im Jahr 2022 und dem Angriff auf Nomad.
Ethereum ist erhältlich bei Bitvavo und Bybit.
Mehr als 11 Millionen US-Dollar an Kryptowährungen verschwunden
Blockaid meldete, dass ihr Erkennungssystem einen aktiven Exploit auf der Verus Ethereum Bridge festgestellt hat. Laut den Forschern wurden inzwischen rund 11,58 Millionen US-Dollar gestohlen.
PeckShield bestätigt unterdessen, dass der Angreifer unter anderem 103,6 tBTC, 1.625 ETH und rund 147.000 USDC aus dem Bridge-Protokoll entwendet hat.
Die gestohlenen Vermögenswerte wurden anschließend in rund 5.402 ETH umgewandelt, mit einem aktuellen Wert von etwa 11,4 Millionen US-Dollar. Die Gelder befinden sich derzeit auf der Wallet-Adresse 0x65Cb8b128Bf6e690761044CCECA422bb239C25F9.
Laut den Forschern wurde die Wallet-Adresse des Angreifers etwa 14 Stunden vor dem Angriff mit 1 ETH über Tornado Cash finanziert.
Exploit lag in der Verifizierung von Cross-Chain-Werten
Blockaid erklärt, dass die Ursache wahrscheinlich in einer fehlenden Kontrolle innerhalb des Smart Contracts der Bridge liegt. Obwohl das Protokoll korrekt überprüfte, ob die kryptografischen Signaturen und Merkle-Proofs gültig waren, wurde nicht verifiziert, ob der tatsächliche Wert auf der Ursprungs-Chain mit den Auszahlungen auf Ethereum übereinstimmte.
Dadurch konnte der Angreifer eine Transaktion mit nahezu wertlosen Ursprungswerten konstruieren, während die Bridge dennoch vollständige Auszahlungen aus den Reserven ausführte.
Laut Blockaid kostete der Angriff den Hacker lediglich rund 10 US-Dollar an VRSC-Transaktionsgebühren, während die Beute auf über 11,5 Millionen US-Dollar anstieg.
Die Forscher stellen klar, dass es sich weder um eine Schwachstelle bei ECDSA-Signaturen, noch um einen Kompromiss von Notary-Keys oder einen Hash-Bug handelt. Das Problem liege spezifisch in einer fehlenden Validierung der Ursprungsbeträge innerhalb des Solidity-Codes des Protokolls. Solche Schwachstellen verursachen häufiger große Probleme innerhalb von Smart Contracts.
Bridges bleiben beliebtes Ziel für Hacker
Cross-Chain-Bridges gehören seit Jahren zu den am häufigsten angegriffenen Bereichen der Kryptosektor. Da Bridges große Token-Reserven verwalten und komplexe Verifizierungen zwischen Blockchains durchführen, stellen sie ein attraktives Ziel für Hacker dar.
Der Angriff auf die Verus Ethereum Bridge weist laut Forschern deutliche Ähnlichkeiten mit früheren Exploits auf, bei denen Protokolle unzureichend überprüften, ob Transaktionswerte korrekt zwischen verschiedenen Netzwerken verknüpft waren. Kürzlich entstand ebenfalls Unruhe, nachdem THORChain das Netzwerk nach einem Exploit von mehr als 10 Millionen US-Dollar vorübergehend stilllegte.
Derzeit ist noch unklar, ob die gestohlenen Gelder eingefroren oder zurückgeholt werden können. Das Verus-Team hat zum Zeitpunkt der Veröffentlichung noch keinen vollständigen technischen Post-Mortem-Bericht veröffentlicht. Dadurch wächst erneut die Aufmerksamkeit für Krypto-Sicherheit und Betrugsfälle innerhalb der Branche.