การแฮ็ก Verus Bridge เปลืองเงิน $11.6M เนื่องจากแฮ็กเกอร์ใช้ประโยชน์จากข้อบกพร่อง Cross-Chain เล็กๆ $10

ประเด็นสำคัญ:

• ผู้โจมตีประสบความสำเร็จในการใช้ประโยชน์จากจุดอ่อนในกระบวนการตรวจสอบความถูกต้องของ cross-chain และขโมยเงินประมาณ 11.58 ล้านดอลลาร์จากสะพาน ETH ของ Verus
• ตามที่แฮ็กเกอร์ระบุ ค่าธรรมเนียมการทำธุรกรรมสำหรับ VRSC อยู่ใกล้กับ $10 และระบายออกไป 1,625 ETH, 103 tBTC และ 147,000 USDC
• จากข้อมูลของบริษัทรักษาความปลอดภัย ช่องโหว่นี้คล้ายคลึงกับการแฮ็กสะพาน Wormhole และสะพาน Nomad ซึ่งทำในลักษณะเดียวกัน

การรักษาความปลอดภัยสะพานแบบ Cross-chain ได้รับความสนใจอีกครั้งหลังจากการโจมตี DeFi ครั้งใหม่ ซึ่งส่งผลให้สูญเสียเงินกว่า 11 ล้านดอลลาร์จากสะพาน Verus-Ethereum จากข้อมูลของบริษัทที่เกี่ยวข้องกับเหตุการณ์ดังกล่าว มันไม่ได้เป็นผลมาจากการขโมยกุญแจหรือลายเซ็นที่เสียหาย แต่เป็นข้อบกพร่องด้านมูลค่าทางเศรษฐกิจที่ไม่ถูกต้อง ซึ่งปรากฏอยู่ในขั้นตอนสำคัญของกระบวนการตรวจสอบความถูกต้องข้ามสายโซ่มูลค่าทางเศรษฐกิจของสะพาน

การใช้ประโยชน์จาก Verus Bridge ทำให้สูญเสียเงินจำนวน 11.58 ล้านเหรียญสหรัฐ

ตามแพลตฟอร์มความปลอดภัยออนไลน์ บล็อกเคดมีการแสวงหาผลประโยชน์อย่างต่อเนื่องโดยมุ่งเป้าไปที่สะพาน Verus-Ethereum เงินสำรองของโปรโตคอลถูกกล่าวหาว่าหมดไปประมาณ 1,625 ETH, 103 tBTC และเกือบ 147,000 USDC

การแจ้งเตือนจากชุมชน:
ระบบตรวจจับช่องโหว่ของ Blockaid ได้ระบุช่องโหว่ที่กำลังดำเนินอยู่ @veruscoin สะพาน Verus-Ethereum (https://t.co/HEwYZqFEfC)
~$11.58M หมดแล้วจนถึงตอนนี้

รายละเอียดเพิ่มเติมใน

— Blockaid (@blockaid_) 18 พฤษภาคม 2569

นักวิจัยยังคาดการณ์ว่าเงินที่ถูกขโมยนั้นได้ถูกแลกเปลี่ยนเป็นมูลค่ามากกว่า 11.4 ล้านดอลลาร์สหรัฐฯ ในตลาดในรูปแบบประมาณ 5,402 ETH

กล่าวกันว่า 1 ETH ถูกฝากเข้ากระเป๋าสตางค์ของผู้โจมตีผ่าน Tornado Cash ก่อนการโจมตี ซึ่งเป็นเทคนิคที่ใช้กันทั่วไปในการโจมตีขนาดใหญ่เพื่อครอบคลุมเส้นทางการทำธุรกรรมในสัญญาอัจฉริยะของ DeFi

อ่านเพิ่มเติม: 5.87 ล้านเหรียญสหรัฐ Ethereum ใช้ประโยชน์จากปริมาณที่เชื่อถือได้ เนื่องจาก 1inch ปฏิเสธการละเมิดโปรโตคอลใด ๆ

การใช้ประโยชน์ทำงานอย่างไร

นักวิเคราะห์ความปลอดภัยกล่าวว่าช่องโหว่นี้เกิดจากการขาดการตรวจสอบความถูกต้องภายในตรรกะการตรวจสอบการนำเข้าของบริดจ์

ข้อความข้ามสายโซ่ผ่านการตรวจสอบโดยไม่ต้องสำรองเนื้อหา

สะพานดังกล่าวสามารถทดสอบรากของรัฐที่ได้รับการรับรอง, Merkle proofs และการเชื่อมโยงแฮชได้สำเร็จ Blockaid กล่าว แต่คาดคะเนว่าไม่ได้ตรวจสอบการมีอยู่ของหลักประกันที่เพียงพอสำหรับการจ่ายเงินที่ทำบน Ethereum เพื่อครอบคลุมการดำเนินการของลูกโซ่ที่เกี่ยวข้อง

เห็นได้ชัดว่ามีการสร้างธุรกรรมที่มีมูลค่าต่ำที่เรียกว่า Verus ซึ่งมีแฮชการจ่ายเงินที่ถูกต้อง และตั้งค่าผลรวมของสินทรัพย์ฝั่งแหล่งที่มาให้เกือบเป็นศูนย์ เนื่องจากเพย์โหลดที่ส่งออกยังคงเป็นแฮชการเข้ารหัสเหมือนเดิมตามที่คาดไว้ สะพานจึงปล่อยคำขอโอนและปล่อยสินทรัพย์สำรอง

การโจมตี DeFi Bridge กำลังเร่งขึ้นอีกครั้ง

นี่เป็นปัญหาล่าสุดในชุดปัญหาด้านความปลอดภัยที่เกิดขึ้นบนบริดจ์ในปี 2026 เนื่องจากโปรโตคอล crypto มีการเพิ่มและปรับปรุงฟังก์ชันการทำงานร่วมกันอย่างต่อเนื่อง โครงสร้างพื้นฐานแบบ cross-chain จึงกลายเป็นพื้นที่การโจมตีอันดับต้นๆ ในโลกบล็อกเชน

อ่านเพิ่มเติม: การเอารัดเอาเปรียบ DeFi มูลค่า 7.6 ล้านเหรียญสหรัฐเขย่า Rhea Finance เนื่องจากแฮกเกอร์จัดการพูลได้ในเวลาไม่กี่ชั่วโมง

หากขนาดของปริมาณสำรองสภาพคล่องที่บริษัทรักษาความปลอดภัยถือครองไม่มากเพียงพอ อาจเป็นเพราะตรรกะการตรวจสอบระหว่างเครือข่ายต่างๆ ในระบบบริดจ์มีความซับซ้อนมาก การรวมกันดังกล่าวได้รับการพิสูจน์แล้วว่าเป็นที่ชื่นชอบในหมู่เป้าหมายในการโจมตีหลายครั้ง

คุณควรทราบด้วยว่าการโจมตีดังกล่าวเกิดขึ้นหลังจากการละเมิดความปลอดภัยแบบ cross-chain ขนาดใหญ่อีกครั้ง โดยที่ THORChain ถูกบังคับให้ยอมรับเงินจำนวน 10 ล้านเหรียญของตัวเอง

ตามข้อมูลบล็อกเชนด้านความปลอดภัย การแฮ็ก DeFi ได้รวบรวมความเสียหายหลายร้อยล้านดอลลาร์ในปีนี้ ซึ่งรวมถึงโปรโตคอลแฮ็กบริดจ์ด้วย