Ít nhất ba vụ đã bị rút cạn trong thời gian ngắn liên tiếp trong một khung 6 giờ, với tổng cộng vượt 35 triệu USD, theo dữ liệu blockchain được CoinDesk đánh giá và được các công ty an ninh BlockAid và Peckshield báo cáo.
Chuỗi các cuộc tấn công có chung một điểm liên kết. Không cuộc tấn công nào phá vỡ được nền tảng mật mã — mỗi cuộc hoặc là một lỗ hổng logic, nơi mã chạy đúng như được viết nhưng các quy tắc vẫn cho phép rút tiền ra, hoặc là một khóa bị xâm phạm, trao cho kẻ tấn công quyền kiểm soát mà họ không bao giờ nên có.
Đáng kết án nhất là mạng blockchain Verus. Blockaid phát hiện một lỗ hổng trên cầu nối Verus-Ethereum từ sớm vào sáng Thứ Năm, làm rút cạn khoảng 7,54 triệu USD bằng ether, token hóa bitcoin và một loạt stablecoin.
Công ty cho biết cuộc tấn công đã tái sử dụng cùng một hợp đồng cầu (bridge) và đường dẫn (entry path) như một vụ tấn công trước đó, khai thác một loại lỗi tương tự. CoinDesk cho biết vụ việc trước đó, gây thiệt hại 11,5 triệu USD, diễn ra vào tháng Năm.
Cầu (bridge) là một công cụ dựa trên blockchain, cho phép tài sản di chuyển giữa hai mạng lưới vốn không thể tương tác với nhau. Nó giữ các token thật ở một phía và phát hành các yêu cầu/đòi hỏi (claims) ở phía bên kia, và sự an toàn của nó phụ thuộc hoàn toàn vào việc xác minh đúng cách rằng mọi lần rút tiền đều thực sự được bảo đảm bởi các tài sản đã khóa trên chuỗi còn lại.
Lỗ hổng Verus cho phép kẻ tấn công kích hoạt việc chi trả ở phía Ethereum, trong khi các khoản đó chưa được phía Verus hỗ trợ/bảo đảm đúng cách. Vì vậy, cầu (bridge) đã giải phóng tiền thật dựa trên một yêu cầu trị giá gần như không đáng kể.
Kẻ tấn công đã hoàn trả phần lớn số tiền để đổi lấy tiền thưởng (bounty) sau vụ tấn công vào tháng Năm. Sau đó, Verus đã tái nạp số tiền đã thu hồi vào cùng một cầu (bridge) vào ngày 8 tháng Bảy, theo các hồ sơ onchain được các nhà nghiên cứu an ninh tổng hợp, và cây cầu này lại bị rút cạn (drained) thêm hai tuần sau đó.
Giá của sự tin cậy đó thể hiện rõ trong các con số wn của giao thức. Verus đã nắm giữ gần 100 triệu USD giá trị được khóa vào đầu năm 2025, theo DefiLlama.