Verusのイーサリアムブリッジ再び悪用、約7億5300万ドル相当が0xCFd0アドレスへ移動

Verusのイーサリアムブリッジが7月23日に再びエクスプロイト被害を受け、ブロックチェーンセキュリティ研究者は、5月に標的となった同一コントラクトから流出したETHとトークンの損失額を約7億3000万～7億5000万ドルと見積もっている。研究者によると、攻撃者はVerus側から悪意を持って細工したインポートを用い、正当な公証人署名、ステートルート、Merkle proofsで裏付けられたイーサリアム側の準備金払い出しを発動させたが、その払い出しは送信元チェーン上で対応するロック済み資産またはエクスポート済み資産による裏付けを欠いていた。流出資産にはEther、tBTC、MKR、USDC、テザー（USDT）、EURC、scrvUSDが含まれ、ブリッジは不正な要求を満たすためSkyの担保ポジションとも連携し、約220,357 DAIを発行した。Backward Labsは、根本原因が認可のバイパスとプロトコル状態に関する前提の問題にあるとし、ブリッジのライフサイクル検証における不変条件の破綻を示す概念実証を公表した。同社によると、同じ根本原因は66日間にわたり悪用可能な状態のままだった。今回の事案は、5月17日に約1億1600万ドルが盗まれた攻撃に続く、同一コントラクトと同一脆弱性に対する約2カ月で2度目の侵害であり、累計損失は約1億9100万ドルに達した。今回の再度のエクスプロイトは、DeFi（分散型金融）のブリッジに共通するリスクを改めて浮き彫りにした。すなわち、暗号学的証明が正しく検証されても、業務ロジック上の検証が払い出しの経済的裏付けを確認できない場合があるという点である。