Die Verus–Ethereum-Bridge wurde zum zweiten Mal innerhalb von rund zwei Monaten geleert, was unangenehme Fragen darüber aufwirft, ob eine Schwachstelle, die bereits einmal ausgenutzt wurde, jemals wirklich behoben wurde. Die Sicherheitsfirma Blockaid entdeckte den neuesten Verus-Ethereum-Bridge-Exploit und bestätigte, dass ein Angreifer den Importpfad der Bridge missbrauchte, um nicht gedeckte Auszahlungen auf der Ethereum-Seite auszulösen und mit ungefähr 7,54 Millionen US-Dollar in ETH, tBTC, USDC, USDT, EURC, MKR und scrvUSD davonzukommen. Alle gestohlenen Vermögenswerte wurden anschließend in ETH umgewandelt.
Summary
Wichtigste Erkenntnisse
- Die Verus–Ethereum-Bridge wurde innerhalb von zwei Monaten zweimal ausgenutzt, wobei der jüngste Diebstahl sich auf etwa 7,54 Millionen US-Dollar beläuft.
- Beide Angriffe missbrauchten denselben Bridge-Importpfad und dieselbe Verwundbarkeitsklasse und lösten nicht gedeckte Auszahlungen auf der Ethereum-Seite aus.
- Der Exploit im Mai leerte rund 11,5 Millionen US-Dollar; der Angreifer gab später 4.052,4 ETH zurück, nachdem er eine White-Hat-Prämie von 25 % einbehalten hatte.
- Die zurückerlangten Gelder wurden am 8. Juli wieder in die Bridge eingezahlt – und die Bridge wurde kurz darauf erneut geleert.
- Der jüngste Angriff wurde laut Blockaid von einem anderen Angreifer mit einer neuen Wallet durchgeführt.
Zweiter Exploit trifft Verus–Ethereum-Bridge innerhalb von zwei Monaten
Besonders bemerkenswert an diesem Vorfall ist nicht nur die gestohlene Summe, sondern auch das Timing und die dahinterstehenden Mechanismen. Die Bridge hatte erst vor Kurzem den Großteil der Gelder zurückerhalten, die beim Exploit vom 18. Mai entwendet worden waren, bei dem rund 11,5 Millionen US-Dollar abgezogen wurden. Diese zurückerlangten Vermögenswerte wurden am 8. Juli wieder in dieselbe Bridge eingezahlt. Innerhalb von zwei Wochen schlug ein zweiter Angreifer zu – mit demselben Vertrag, demselben Einstiegspfad und derselben Art von Schwachstelle.
Laut Blockaid agierte der jüngste Angreifer von einer neuen Wallet aus und hatte keine erkennbare Verbindung zu dem Vorfall im Mai. Die beiden Exploits sind nicht durch den Täter, sondern durch die Gelegenheit verbunden: eine ungelöste strukturelle Schwäche, die für jeden zugänglich blieb, der wusste, wo er suchen musste.
Details des jüngsten Diebstahls von 7,54 Millionen US-Dollar
Der Exploit folgte derselben mechanischen Logik wie sein Vorgänger. Durch die Manipulation des Importpfads der Bridge zwang der Angreifer die Ethereum-Seite der Bridge dazu, reale Vermögenswerte freizugeben, die durch Forderungen gedeckt waren, die auf der Verus-Seite nur unzureichend oder gar nicht hinterlegt waren. Das Ergebnis war ein Multi-Token-Abfluss – ETH, tokenisiertes Bitcoin, eine Reihe von Stablecoins wie USDC, USDT und EURC sowie MKR und scrvUSD – alles herausgeleitet und schnell in ETH konsolidiert.
Blockaid markierte den Angriff in Echtzeit und wies ausdrücklich darauf hin, dass die Verwundbarkeitsklasse identisch mit der im Mai ausgenutzten war. Die Erkennung des Unternehmens hob hervor, dass derselbe Bridge-Vertrag und derselbe Einstiegspfad verwendet worden waren, was auf eine Schwachstelle hinweist, die in beiden Vorfällen fortbestand.
Vergleich mit dem Exploit im Mai und den beteiligten Angreifern
Das Ereignis im Mai war in reinen Dollarbeträgen größer, mit Verlusten von rund 11,5 Millionen US-Dollar. Die damals gestohlenen Vermögenswerte wurden in etwa 5.402,4 ETH umgewandelt. Es folgte ein für den Kryptosicherheitsbereich ungewöhnlicher Vorgang: Der Angreifer gab 4.052,4 ETH zurück und behielt eine White-Hat-Prämie von 25 % als Entlohnung für das Aufdecken der Schwachstelle. Das Verus-Team akzeptierte diese Vereinbarung, und die zurückgegebenen Gelder wurden am 8. Juli wieder in die Bridge eingebracht.
Diese Entscheidung wirkt nun kostspielig. Die Wiedereinführung von Liquidität in ein ungepatchtes System setzte das Ziel im Grunde zurück. Der zweite Angreifer – eine andere Person, eine neue Wallet, aber dasselbe Drehbuch – nutzte das Zeitfenster aus, bevor eine strukturelle Behebung umgesetzt war, wie aus den verfügbaren Onchain-Daten hervorgeht, über die CoinDesk berichtete.
Schwachstelle im Bridge-Importpfad ermöglicht nicht gedeckte ETH-Auszahlungen
Der Kernfehler ist im Konzept einfach, auch wenn er in der Ausführung gefährlich ist. Beide Exploits funktionierten, weil der Importpfad der Bridge so manipuliert werden konnte, dass Auszahlungen auf der Ethereum-Seite autorisiert wurden, ohne dass entsprechende Vermögenswerte auf der Verus-Seite ordnungsgemäß gesperrt wurden. Die Bridge gab echtes Geld gegen Forderungen frei, die fast nichts wert waren.
Diese Art von Logikfehler – bei dem der Code wie geschrieben ausgeführt wird, die Regeln selbst aber erlauben, dass Gelder abfließen – unterscheidet sich von einem kryptografischen Bruch. Es wurde keine Verschlüsselung geknackt. Das System wurde durch seine eigene interne Logik ausgetrickst.
Art des Exploits und gemeinsame Verwundbarkeitsklasse
Blockaid bestätigte, dass beide Angriffe dieselbe Verwundbarkeitsklasse teilten. Das ist bedeutsam: Es bedeutet, dass der Fehler zwischen Mai und Juli nicht behoben wurde und die Wiedereinzahlung der Gelder am 8. Juli im Effekt eine Bridge neu auflud, die weiterhin eine bekannte, dokumentierte Schwachstelle aufwies.
Die weitergehende Implikation für die Cross-Chain-Infrastruktur ist schwer zu ignorieren. Die Sicherheit einer Bridge hängt vollständig von der Integrität ihres Verifizierungsmechanismus ab – des Prozesses, der bestätigt, dass jede Abhebung auf der einen Seite tatsächlich durch gesperrte Vermögenswerte auf der anderen Seite gedeckt ist. Wenn dieser Mechanismus eine bekannte Schwachstelle aufweist und Gelder ohne bestätigte Behebung wieder eingebracht werden, erholt sich das System nicht. Es wartet.
Auswirkungen ungelöster Schwachstellen auf die Bridge-Sicherheit
Laut von CoinDesk zitierten Daten von DefiLlama hielt Verus Anfang 2025 fast 100 Millionen US-Dollar an Total Value Locked. Zum Zeitpunkt des jüngsten Exploits war diese Zahl auf rund 9 Millionen US-Dollar gefallen – ein langsamer Rückgang, der durch die beiden Hacks stark beschleunigt wurde.
Diese Entwicklung ist über die reinen Verlustzahlen hinaus bedeutsam. Jeder Exploit entzieht nicht nur den gestohlenen Betrag; er signalisiert Liquiditätsanbietern und Nutzern auch, dass das System möglicherweise nicht sicher genug für eine Nutzung ist. Der Vertrauensabfluss verstärkt den Abfluss an Vermögenswerten.
Wiederherstellungsbemühungen und Wiedereinsetzung der Gelder
Der Vorfall im Mai führte zu einem der ungewöhnlicheren Ergebnisse in der jüngeren Geschichte der Kryptosicherheit. Nachdem die Bridge geleert und die Vermögenswerte in etwa 5.402,4 ETH umgewandelt worden waren, gab der Angreifer 4.052,4 ETH zurück – er behielt 25 % als White-Hat-Gebühr. Das Verus-Team akzeptierte diese teilweise Wiederherstellung, und die zurückgegebenen Gelder wurden laut von Sicherheitsforschern zusammengetragenen Onchain-Aufzeichnungen am 8. Juli offiziell wieder in die Bridge eingezahlt.
White-Hat-Vereinbarungen dieser Art sind im DeFi-Bereich nicht ungewöhnlich. Sie bieten einen pragmatischen Weg zur teilweisen Wiedererlangung von Geldern, wenn rechtliche Durchsetzung schwierig ist und Angreifer anonym bleiben. Sie beruhen jedoch auf einer impliziten Annahme: dass die vom Angreifer identifizierte Schwachstelle behoben wird, bevor die zurückerlangten Gelder wieder in das System fließen.
In diesem Fall scheint diese Annahme falsch gewesen zu sein. Derselbe Einstiegspfad und dieselbe Verwundbarkeitsklasse, die den Diebstahl im Mai ermöglichten, blieben nach der Wiedereinzahlung der Gelder verfügbar – und ein zweiter, nicht verbundener Angreifer fand sie innerhalb von zwei Wochen.
Was das für die Sicherheit von Ethereum-Bridges bedeutet
Die Verus-Situation ist eine extreme Veranschaulichung eines Musters, das sich in der Cross-Chain-Infrastruktur ausweitet. In einem Sechs-Stunden-Fenster am selben Tag wie der jüngste Verus-Exploit wurden laut CoinDesk-Berichten über von BlockAid und Peckshield ausgewertete Blockchain-Daten mindestens zwei weitere Protokolle in separaten Vorfällen geleert, mit einer kombinierten Gesamtsumme von über 35 Millionen US-Dollar über alle betroffenen Plattformen hinweg. Keiner dieser Angriffe brach die zugrunde liegende Kryptografie. Jeder war entweder ein Logikfehler oder eine kompromittierte Berechtigung – Verwundbarkeitskategorien, die Audits übersehen können und die oft unbemerkt bleiben, bis jemand mit dem richtigen Wissen handelt.
Der Verus-Fall fügt eine härtere Lektion hinzu: Die Wiedererlangung von Geldern aus einem Exploit und deren Wiedereinführung in ein ungepatchtes System stellt die Sicherheit nicht wieder her. Sie stellt die Exponierung wieder her. Für Nutzer und Liquiditätsanbieter, die Cross-Chain-Bridges bewerten, stellt sich nicht mehr nur die Frage, ob eine Bridge geprüft wurde, sondern ob identifizierte Schwachstellen nachweislich behoben wurden, bevor Kapital wieder einfließt.
FAQ
Was war die Ursache der Verus–Ethereum-Bridge-Exploits?
Beide Exploits missbrauchten den Importpfad der Bridge und lösten nicht gedeckte Auszahlungen auf der Ethereum-Seite aufgrund derselben Verwundbarkeitsklasse aus. Die Bridge gab reale Vermögenswerte gegen Forderungen frei, die auf der Verus-Seite nicht ordnungsgemäß gedeckt waren.
Wie viel wurde beim jüngsten Verus–Ethereum-Bridge-Exploit gestohlen?
Es wurden ungefähr 7,54 Millionen US-Dollar in verschiedenen Token – darunter ETH, tBTC, USDC, USDT, EURC, MKR und scrvUSD – abgezogen und anschließend in ETH umgewandelt.
Waren die Gelder aus dem vorherigen Hack vollständig verloren?
Nein. Der Angreifer vom Mai gab 4.052,4 ETH zurück, nachdem er eine White-Hat-Prämie von 25 % einbehalten hatte. Diese Gelder wurden am 8. Juli wieder in die Bridge eingezahlt, bevor der zweite Exploit stattfand.
Wurde der aktuelle Exploit vom selben Angreifer wie zuvor durchgeführt?
Nein. Laut Blockaid wurde der jüngste Angriff von einem anderen Angreifer mit einer neuen Wallet durchgeführt, ohne erkennbare Verbindung zu dem Vorfall im Mai.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Was war die Ursache der Verus–Ethereum-Bridge-Exploits?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Beide Exploits missbrauchten den Importpfad der Bridge und lösten nicht gedeckte Auszahlungen auf der Ethereum-Seite aufgrund derselben Verwundbarkeitsklasse aus. Die Bridge gab reale Vermögenswerte gegen Forderungen frei, die auf der Verus-Seite nicht ordnungsgemäß gedeckt waren.“}},{„@type“:“Question“,“name“:“Wie viel wurde beim jüngsten Verus–Ethereum-Bridge-Exploit gestohlen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Es wurden ungefähr 7,54 Millionen US-Dollar in verschiedenen Token – darunter ETH, tBTC, USDC, USDT, EURC, MKR und scrvUSD – abgezogen und anschließend in ETH umgewandelt.“}},{„@type“:“Question“,“name“:“Waren die Gelder aus dem vorherigen Hack vollständig verloren?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Nein. Der Angreifer vom Mai gab 4.052,4 ETH zurück, nachdem er eine White-Hat-Prämie von 25 % einbehalten hatte. Diese Gelder wurden am 8. Juli wieder in die Bridge eingezahlt, bevor der zweite Exploit stattfand.“}},{„@type“:“Question“,“name“:“Wurde der aktuelle Exploit vom selben Angreifer wie zuvor durchgeführt?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Nein. Laut Blockaid wurde der jüngste Angriff von einem anderen Angreifer mit einer neuen Wallet durchgeführt, ohne erkennbare Verbindung zu dem Vorfall im Mai.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
