Verus以太坊桥再遭黑客攻击，754万美元资产被盗

核心提要：Verus以太坊桥再度遭遇严重安全漏洞，攻击者利用导入路径缺陷窃取约754万美元多种资产。该桥此前在5月已发生类似事件，修复措施未彻底解决根本问题，引发市场对去中心化桥机制可靠性的广泛质疑。

Verus以太坊桥遭重创：754万美元资产被无抵押提取

Verus与以太坊之间的跨链桥梁系统于周四爆发重大安全危机，攻击者通过漏洞机制从以太坊侧储备中非法转移价值约754万美元的多类数字资产。此次事件由Blockaid率先发现并通报，确认攻击者利用了桥接协议中的导入路径逻辑缺陷。

项目背景与桥接设计初衷

VerusCoin（VRSC）自2018年启动，定位为支持隐私保护、多链互操作及去中心化治理的区块链网络。其采用融合工作量证明与权益证明的混合共识模型，并集成零知识验证与企业级公有链部署功能（PBaaS）。

Verus-以太坊桥自2023年10月正式上线，宣称实现非托管、无需信任的跨链交互。该桥依赖Verus网络矿工与质押者的加密签名作为验证依据，通过共识机制确保资产转移的合法性，避免中心化托管风险，强调透明性与抗审查特性。

历史漏洞与修复滞后之困

该桥曾在2026年5月遭受过一次严重攻击，攻击者借助相似的导入验证机制漏洞盗取约1158万美元资产。事后，超七成资金由攻击者主动返还，项目方随即展开审计并承诺强化验证流程。

然而，本次7月发生的攻击再次暴露出相同合约层面的漏洞，且攻击手法高度一致。这表明底层验证逻辑的结构性缺陷仍未根除，修复方案存在明显滞后与不彻底的问题。

漏洞技术细节与追踪信息

涉事桥合约地址：0x71518580f36FeCEFfE0721F06bA4703218cD7F63

资金转移目标钱包：0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54

疑似攻击者地址：0xBda71b58cEc0b1C20A8f87cCD52FA0679747855c

攻击者调用submitImports函数，在缺乏Verus链端对应资产支撑的情况下触发以太坊侧支付。核心问题仍在于未能有效校验一端输入金额与另一端实际支付金额的一致性，与5月漏洞本质相同。

截至目前，尚未有官方宣布追回或冻结相关资金的进展。该事件再度凸显跨链桥在去中心化架构下仍面临严峻的安全挑战，即便具备强共识机制亦难免疫。近期第二金融（SecondFi）因漏洞被迫停摆、Balance Coin协议受挫后市值暴跌等案例，共同加剧市场对跨链生态稳定性的担忧。建议用户暂停与该桥相关的所有交互行为，并密切关注项目方发布的安全公告与补丁更新。