Due attacchi in meno di due mesi, la stessa falla, quasi venti milioni di dollari complessivamente sottratti. Il secondo exploit del ponte Verus-Ethereum non è solo un furto da 7,54 milioni di dollari: è la prova che una vulnerabilità nota era rimasta aperta, e che qualcuno ha aspettato il momento giusto per sfruttarla di nuovo.
Summary
Punti chiave
- Il ponte Verus-Ethereum è stato colpito per la seconda volta in due mesi, con un furto da circa 7,54 milioni di dollari in ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD.
- L’attacco ha sfruttato lo stesso contratto, lo stesso percorso di ingresso e la stessa classe di vulnerabilità dell’exploit di maggio da 11,5 milioni di dollari.
- Il primo attaccante aveva restituito 4.052,4 ETH trattenendo il 25% come bounty white-hat; quei fondi erano stati reimmessi nel ponte l’8 luglio.
- Il secondo attacco è opera di un soggetto diverso, con un nuovo wallet, che ha convertito in ETH tutto il bottino.
- Blockaid ha rilevato l’exploit e confermato la medesima classe di vulnerabilità in entrambi gli incidenti.
Secondo exploit sul ponte Verus-Ethereum: cosa è successo
L’allarme è arrivato da Blockaid, la società di sicurezza blockchain che ha rilevato l’attacco e ricostruito il meccanismo. Un attaccante ha abusato del percorso di importazione del ponte per generare pagamenti sul lato Ethereum non coperti da asset reali sul lato Verus. In sostanza, il bridge ha rilasciato token veri a fronte di richieste quasi prive di valore. Il risultato: circa 7,54 milioni di dollari drenati in ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD, poi rapidamente convertiti in ETH.
Quello che rende questo episodio particolarmente grave non è l’importo — significativo, ma non eccezionale nel panorama degli attacchi DeFi — bensì il contesto. La stessa infrastruttura, lo stesso vettore d’attacco, la stessa classe di bug già documentata a maggio. La vulnerabilità non era un’incognita.
Il confronto con l’attacco di maggio e il profilo degli aggressori
Il primo exploit era avvenuto il 18 maggio, drenando circa 11,5 milioni di dollari convertiti in circa 5.402,4 ETH. Quell’attaccante, a differenza del secondo, aveva poi scelto una strada insolita: restituire la maggior parte dei fondi. Aveva trattenuto il 25% come bounty white-hat e restituito 4.052,4 ETH. Il team di Verus aveva quindi reimmesso quei fondi nel ponte l’8 luglio.
Due settimane dopo, il ponte è stato svuotato di nuovo.
Il secondo attaccante è un soggetto completamente diverso, con un wallet nuovo, e non ha mostrato alcuna intenzione di restituire quanto sottratto. Blockaid ha confermato che i due attacchi condividono contratto, percorso di ingresso e classe di vulnerabilità, ma gli autori non hanno alcun legame accertato.
La vulnerabilità nel percorso di importazione: come funziona l’attacco
Il meccanismo alla base di entrambi gli exploit è lo stesso: il percorso di importazione del ponte può essere manipolato per innescare pagamenti sul lato Ethereum che non corrispondono ad asset bloccati sull’altro lato della catena. È una falla logica, non crittografica — il codice funzionava come scritto, ma le regole permettevano comunque l’uscita di denaro reale.
Questo tipo di vulnerabilità è tra le più insidiose nell’ecosistema dei bridge cross-chain. Non richiede di “rompere” la blockchain sottostante: basta trovare un percorso nel contratto che consenta di generare richieste di prelievo non adeguatamente verificate. In questo caso, il bridge ha emesso ETH reali a fronte di claim che non avevano copertura sul lato Verus.
Perché una falla già nota era ancora sfruttabile
Questo è il nodo centrale. Dopo il primo attacco di maggio, i fondi recuperati erano stati reimmessi nel sistema senza che la vulnerabilità fosse risolta — o almeno senza che lo fosse in modo efficace. Blockaid ha confermato che la classe di bug era identica. Significa che chiunque avesse studiato il primo exploit disponeva già di tutte le informazioni necessarie per replicarlo.
Reimmettere 4.052,4 ETH in un ponte con una vulnerabilità ancora aperta non era un atto di ripristino della sicurezza: era ricaricare un sistema esposto. Il secondo attaccante ha semplicemente aspettato che ci fosse abbastanza liquidità da rendere l’operazione conveniente, poi ha colpito.
Implicazioni per la sicurezza dei bridge cross-chain
Il caso Verus evidenzia un problema strutturale nell’ecosistema dei bridge cross-chain: un exploit documentato, con meccanismo noto, può essere replicato se la correzione non è tempestiva e verificabile. La fiducia nel protocollo non può precedere la certezza tecnica che la falla sia chiusa.
Nessuno di questi attacchi ha richiesto di violare la crittografia sottostante. Sono stati sfruttati difetti logici nei contratti. È una distinzione che conta: significa che il problema non è nella tecnologia blockchain di base, ma nella qualità del codice che governa i bridge e nella velocità con cui le vulnerabilità vengono effettivamente risolte dopo essere state identificate.
Per chi detiene asset su infrastrutture cross-chain, il messaggio è scomodo: la fiducia nel protocollo non può precedere la certezza tecnica che la falla sia chiusa.
FAQ
Qual è stata la causa degli exploit sul ponte Verus-Ethereum?
Entrambi gli attacchi hanno sfruttato il percorso di importazione del ponte per innescare pagamenti sul lato Ethereum non coperti da asset reali sul lato Verus. Si tratta della stessa classe di vulnerabilità logica, confermata da Blockaid in entrambi gli incidenti.
Quanto è stato sottratto nell’ultimo exploit del ponte Verus-Ethereum?
Circa 7,54 milioni di dollari in ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD, successivamente convertiti tutti in ETH dall’attaccante.
I fondi del primo attacco erano stati persi definitivamente?
No. Il primo attaccante aveva restituito 4.052,4 ETH trattenendo il 25% come bounty white-hat. I fondi recuperati erano stati reimmessi nel ponte l’8 luglio, prima che il secondo exploit li drenasse di nuovo.
Il secondo attacco è opera dello stesso soggetto del primo?
No. Blockaid ha confermato che il secondo attacco è stato condotto da un soggetto diverso, con un wallet nuovo, senza alcun legame accertato con il primo aggressore.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
