$7,5 млн из «воздуха»:
разбор повторной атаки на мост Verus

23 июля 2026 года из смарт-контракта моста Verus в сети Ethereum вывели активы почти на $7,54 млн. Взлома кода в привычном смысле не было: злоумышленник предъявил мосту доказательство перевода, которое внешне прошло проверку, — и тот выплатил миллионы, хотя реального обеспечения на другой стороне не было. Полученные токены он тут же перевел в Ethereum и «утопил» след в миксере. Тревожнее всего, что этот же мост уже грабили похожим способом двумя месяцами ранее.

Аналитики BitOK выяснили, как мошенник устроил атаку. Рассказываем, как хакеру удалось получить $7,5 млн из «воздуха».

Чтобы понять эту атаку, сперва о главном простыми словами. Мост между блокчейнами не создает «настоящих» монет. Чтобы получить актив в одной сети, нужно запереть равноценный актив в другой и предъявить мосту доказательство, что это сделано. Мост Verus переносил активы между своим блокчейном и сетью Ethereum: пользователь запирал обеспечение на одной стороне и получал эквивалент на другой.

У этого моста есть важная особенность: он некастодиальный. Это значит, что средствами не распоряжается ни одна компания или администратор с ключами. Переносы подтверждаются криптографическими доказательствами, которые проверяет сама сеть Verus (майнеры и стейкеры). Это объясняет характер атаки: «взламывать» было нечего — вся защита держится на проверке доказательства, и злоумышленник ударил по ней.

Простая аналогия, чтобы понять суть взлома. Представьте контейнер из двух отделений: одно — Verus, другое — Ethereum. Чтобы забрать что-то из отделения Ethereum, клиент должен сдать равноценный обмен в Verus и принести «накладную», которая это подтверждает. Злоумышленник принес накладную и печать, на которой выглядела настоящей. Охранник проверил печать, но не сверил, сколько коробок на самом деле поместили в другой контейнер. Будучи уверенным, что все законно, он выдал товар.

Вот главное:

Вот в чем суть гипотезы BitOK: прежде чем выплатить активы, мост должен был сам проверить, что список получателей и сумм действительно пришел из подтвержденного перевода на стороне Verus. Похоже, эту проверку удалось обмануть — например, мост доверился данным, которые подставил сам злоумышленник, вместо того чтобы сверить их с настоящим переводом. Тогда доказательство выглядит подлинным, хотя за ним ничего не стоит. Судя по всему, брешь системы безопасности оказалась именно в том, как мост связывает доказательство с реальным переводом.

Мост выплатил злоумышленнику целый набор активов. Обратите внимание на последнюю строку: DAI не выводили из резервов, а «выпустили» (сминтили) прямо внутри вредоносной транзакции.

Здесь tBTC — это «обернутый» биткоин в сети Ethereum, EURC — стейблкоин, привязанный к евро, а scrvUSD и MKR — токены экосистемы децентрализованных финансов.

Появление среди «добычи» именно DAI и MKR — не случайность: вместе с ETH и монетой самого протокола (VRSC) они входят в резервы моста, которыми на 100% обеспечен его внутренний актив.

Кучу разных монет прятать неудобно. Поэтому мошенник перевел их в одну криптовалюту.

Вот как действовал хакер:

Для проверки в обозревателе блокчейна — хэши основных транзакций атаки:

Как мошенник переводил деньги. Граф построен при помощи инструмента Graph от BitOK.

Отдельно стоит подчеркнуть: это уже второй удар по мосту. В мае 2026 года этот же контракт-посредник потерял около $11,6 млн в атаке на тот же механизм импорта. Июльский инцидент использовал новый набор адресов, но задействовал тот же контракт, тот же вход submitImports и похожий класс ошибки.

Заметка инвестигейтора: злоумышленник не воспользовался забытой старой версией кода. На момент атаки работала обновленная реализация обработки импортов, включенная 12 июля — более чем за десять дней до атаки. Сравнение версий показывает, что обновление почти не затронуло основную логику создания импортов. Похоже, корневую причину взлома после майской атаки так и не устранили.

Хакер заранее подготовил газ через миксер и развел роли по разным кошелькам. После он отправил мосту «доказательство», которое тот счел законным, и вывел разнородные активы почти на $7,54 млн. Дальше — быстрая распродажа всего в ETH и 47 заходов в Tornado Cash меньше чем за час.

В отличие от некоторых других инцидентов, здесь деньги не осели на прозрачном адресе для наблюдения, а сразу ушли в миксер: похоже, отмывание было спланировано с самого начала.

Заметка инвестигейтора: ончейн-данные надежно подтверждают последовательность транзакций и движение средств. А вот точная первопричина ошибки проверки остается гипотезой до официального разбора команды Verus. Связь майской и июльской атак с одним и тем же лицом пока не доказана.

Главный вывод этой истории в том, что мост безопасен ровно настолько, насколько надежно он проверяет чужие доказательства.

Перемещая активы между сетями, вы полагаетесь не только на две сети, но и на корректность контракта-моста и его проверок. Стоит заранее выяснить, кто отвечает за мост, проходил ли он аудит и что известно о прошлых инцидентах.

В этом кейсе деньги ушли в миксер сразу — а значит, шанс вернуть их стремится к нулю.