Pelo menos três foram drenados em rápida sucessão em um período de 6 horas, totalizando mais de US$ 35 milhões, segundo dados de blockchain avaliados pela CoinDesk e reportados pelas empresas de segurança BlockAid e Peckshield.
O desenrolar dos ataques compartilha um fio condutor. Nenhum quebrou a criptografia subjacente — cada um foi, ou uma falha de lógica, em que o código foi executado como escrito, mas as regras ainda permitiram que o dinheiro saísse, ou uma chave comprometida que deu ao atacante controle sobre algo que ele nunca deveria ter tido.
O mais contundente foi a rede blockchain Verus. A Blockaid detectou, no início da quinta-feira, um exploit na ponte Verus-Ethereum que drenou cerca de US$ 7,54 milhões em éter, bitcoin tokenizado e uma série de stablecoins.
A empresa sinalizou que o ataque reutilizou o mesmo contrato de ponte e o mesmo caminho de entrada de um hack anterior, explorando uma classe idêntica de bug. A CoinDesk informou sobre o incidente anterior, que resultou em uma perda de US$ 11,5 milhões, em maio.
Uma ponte é uma ferramenta baseada em blockchain que permite que ativos se movam entre duas redes que, de outra forma, não conseguem interagir entre si. Ela mantém tokens reais de um lado e emite reivindicações contra eles do outro, e a segurança dela depende inteiramente de verificar corretamente que cada saque é de fato lastreado por ativos bloqueados na outra cadeia.
A falha da Verus permitiu que um atacante acionasse pagamentos no lado da Ethereum que não estavam devidamente lastreados no lado da Verus; assim, a ponte liberou dinheiro real contra uma reivindicação que valia quase nada.
O atacante devolveu a maior parte dos fundos em troca de uma recompensa após o ataque de maio. Em seguida, a Verus redepositou o dinheiro recuperado na mesma ponte em 8 de julho, de acordo com registros on-chain compilados por pesquisadores de segurança, e a ponte foi novamente drenada duas semanas depois.
O custo dessa confiança fica visível nos números da plataforma. A Verus mantinha perto de US$ 100 milhões em valor travado no início de 2025, segundo a DefiLlama.