Verus跨链桥遭伪造指令攻击，损失超1150万美元

核心提要：Verus协议以太坊跨链桥遭遇欺诈性攻击，黑客通过伪造转账数据包非法转移价值逾1150万美元资产。安全机构指出漏洞源于验证函数缺失，且近期多起大型攻击事件凸显跨链生态风险。

Verus跨链桥遭恶意指令入侵，资金损失突破千万美元

本周一，Verus协议披露其以太坊跨链桥遭受针对性攻击，攻击者利用伪造的跨链交易信息，从桥接系统中提取了至少1158万美元的数字资产。

攻击路径揭示：伪造数据包绕过验证机制

链上监控平台Blockaid在推特发布预警，指出该协议的跨链桥正面临异常流量冲击，并通过Etherscan公开了相关交易明细。数据显示，总计1625枚以太币（ETH）、147,659枚USDC及103.57枚tBTC v2被转入外部钱包，总价值超过1150万美元。

PeckShield亦确认此为典型攻击行为，追踪显示涉事资金已全部转换为以太币。目前该地址持有5,402枚ETH，市值超1140万美元。

Cointelegraph已向Verus官方寻求回应，截至发稿尚未获得正式声明。

核心漏洞定位：验证环节存在逻辑缺失

Blockaid分析认为，本次攻击手法与2022年Nomad及Wormhole等重大事件具有相似特征。

攻击者通过构造虚假的跨链导入请求，使协议误判其为合法指令，从而触发资金释放流程。关键问题在于checkCCEValues函数未对来源金额进行有效性校验——仅需约十行Solidity代码即可修补。

ExVul安全团队进一步指出，攻击者提交的“伪造跨链数据包”成功通过了验证链路，最终导致三笔附加转账被定向至攻击者控制的钱包。

该机构建议：跨链桥应强化“数据包到执行”的绑定机制，在证明验证阶段部署深度防御策略，并在检测到异常导入时自动暂停资金流出。

行业风险集中显现，一季度损失超1.68亿美元

此次事件发生前，THORChain已于上周六证实遭遇价值1000万美元的攻击。统计显示，2026年第一季度已有34个去中心化金融协议遭受攻击，累计被盗金额达1.686亿美元。

仅在4月份，便出现两起年度最大规模攻击：月初的Drift协议遭2.8亿美元劫掠，随后Kelp协议亦被侵入，损失高达2.92亿美元。