VerusのEthereumブリッジが再び被害、5月と同一コントラクトから約750万ドル流出

Verus Ethereum Bridgeが7月23日に再び攻撃を受け、5月に悪用されたのと同じブリッジコントラクトから約754万ドル相当が流出した。 ブロックチェーンセキュリティ企業Blockaidは、7月23日03:45（UTC）にEthereum上での異常な動きを検知。オンチェーンの記録では、取引がVerusブリッジコントラクト（0x71518580f36feceffe0721f06ba4703218cd7f63）と相互作用し、約1,137 ETHに加え複数トークンが攻撃者管理アドレス（0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54）へ送付された。Etherscan上では、当時の流出総額は約754万ドルと算定されている。移転されたトークンにはtBTC、USDC、USDT、EURC、MKR、scrvUSDが含まれる。 Blockaidによると、攻撃者はブリッジのimport経路を悪用し、ソースチェーン側で対応する資産がロックされていないにもかかわらず、Ethereum側の支払いが実行される状態を引き起こしたという。これは5月の事案で指摘された侵入経路および不具合クラスと一致する。一方で、今回の悪用は5月とは異なるトランザクション、異なる攻撃者ウォレットによるものとされ、技術的な根本原因の詳細レポートは現時点で公表されていない。 同ブリッジからの大規模流出は、約2カ月で2度目となる。5月には、検証の抜け穴により偽装されたクロスチェーンimportが承認され、ソースチェーン側のコミット額を上回る資金がEthereumで解放されたとして、約1,158万ドルが失われた。5月の後処理では、元の攻撃者が和解条件の下で4,052.4 ETH（当時約850万ドル相当）を返還し、報奨金として約1,350 ETHを保持した。これはコンバージョン後に残った保有分のおよそ75%に相当するとされる。 7月23日は他案件も重なり、オンチェーントラッカーLookonchainは、3件合計で約3,555万ドルの損失が報告されたとしている。内訳はAFX Trade（2,415万ドル）、Verus（755万ドル）、B² Network（386万ドル）。AFXの損失は第三者が運用するブリッジ基盤上のUSDCに関連し、その後12,467 ETHへ換金されたとされる。Offchain Labsは、Arbitrumのネイティブブリッジには影響していないと説明した。 クロスチェーンブリッジは、異なるチェーン間の事象検証とプール資産の保護を同時に担うため、構造的にリスクが高い。メッセージ検証、コントラクトロジック、アクセス制御の不備は、裏付けのない支払いを招きやすい。Blockaidは今回について、"5月のVerus Ethereum Bridgeインシデントと関連しているように見える"とし、同一コントラクト、同一の侵入経路、同種の不具合クラスを挙げる一方、全く同じ脆弱性が再悪用されたかどうかは断定していない。 報道時点で、資金がVerusブリッジから新たな攻撃者ウォレットへ移動したことは確認されているが、凍結・返還・回収の有無は不明。修正対応のスケジュールや、ブリッジ運用計画の更新も公表されていない。5月の欠陥が未修正だったのか、関連する弱点が使われたのか、importプロセスの別ルートが突かれたのかを見極めるには、追加の技術分析が必要とされる。攻撃者によるその後の資金移動（換金、ミキサー利用、引き出し）についても、資金洗浄や回収機会の観点から監視が続く見通し。 主要アドレス ・対象ブリッジコントラクト：0x71518580f36feceffe0721f06ba4703218cd7f63 ・攻撃者アドレス：0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54 本件は続報中であり、技術レポートや回収に関する新情報が判明次第更新される。