สะพาน Verus บน Ethereum ถูกโจมตีซ้ำ สูญราว 7.5 ล้านดอลลาร์ คาดเป็นการเลียนแบบเหตุเดือนพฤษภาคม

สะพาน Verus Ethereum Bridge ถูกโจมตีอีกครั้งเมื่อวันที่ 23 กรกฎาคม โดยผู้โจมตีดูดเงินออกไปราว 7.54 ล้านดอลลาร์ จากสัญญาสะพานเดียวกับที่เคยถูกเจาะในเดือนพฤษภาคม รายละเอียดเหตุการณ์ บริษัทความปลอดภัยบล็อกเชน Blockaid ตรวจพบการโจมตีบน Ethereum เวลา 03:45 UTC ของวันที่ 23 กรกฎาคม หลักฐานบนเชนระบุว่ามีธุรกรรมเข้าโต้ตอบกับสัญญา Verus bridge ที่ 0x71518580f36feceffe0721f06ba4703218cd7f63 ก่อนโอนออกประมาณ 1,137 ETH พร้อมโทเคนหลายรายการไปยังกระเป๋าที่ผู้โจมตีควบคุม (0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54) โดย Etherscan ประเมินมูลค่าการไหลออกไว้ราว 7.54 ล้านดอลลาร์ ณ เวลานั้น โทเคนที่ถูกโอนออกประกอบด้วย tBTC, USDC, USDT, EURC, MKR และ scrvUSD Blockaid ระบุว่าผู้โจมตีอาศัยช่องทาง "import path" ของสะพาน เพื่อกระตุ้นการจ่ายเงินฝั่ง Ethereum โดยไม่มีสินทรัพย์คู่กันรองรับบนเชนต้นทาง ซึ่งเป็นช่องทางเข้าและกลุ่มบั๊กลักษณะเดียวกับที่ถูกชี้ไว้ในเหตุเดือนพฤษภาคม เหตุครั้งใหม่ใช้ธุรกรรมและกระเป๋าผู้โจมตีคนละใบกับครั้งก่อน และยังไม่มีรายงานสรุปสาเหตุเชิงเทคนิครายละเอียด (root cause) เผยแพร่ออกมา บริบทและผลกระทบ นี่นับเป็นการดูดเงินครั้งใหญ่ครั้งที่สองจากสะพาน Verus แห่งเดิมภายในราวสองเดือน โดยในเดือนพฤษภาคม สะพานสูญไปประมาณ 11.58 ล้านดอลลาร์ หลังนักวิจัยระบุว่ามีช่องว่างด้านการตรวจสอบความถูกต้อง ทำให้คำสั่ง import ข้ามเชนที่ปลอมแปลงผ่านการยืนยันได้ ส่งผลให้มีการปล่อยเงินฝั่ง Ethereum มากกว่าสินทรัพย์ที่ถูกผูกไว้บนเชนต้นทาง หลังเหตุเดือนพฤษภาคม ผู้โจมตีเดิมได้คืน 4,052.4 ETH (ราว 8.5 ล้านดอลลาร์ ณ เวลานั้น) ภายใต้เงื่อนไขการตกลง และเก็บไว้ราว 1,350 ETH เป็นรางวัล (bounty) คิดเป็นประมาณ 75% ของสินทรัพย์คงเหลือของผู้โจมตีหลังการแปลงสินทรัพย์ การโจมตี Verus ในเดือนกรกฎาคมเกิดขึ้นท่ามกลางชุดเหตุโจมตีในวันเดียวกัน โดย Lookonchain ระบุความเสียหายรวมที่รายงานราว 35.55 ล้านดอลลาร์ จาก 3 เหตุการณ์ ได้แก่ AFX Trade (24.15 ล้านดอลลาร์), Verus (7.55 ล้านดอลลาร์) และ B² Network (3.86 ล้านดอลลาร์) กรณี AFX เกี่ยวข้องกับ USDC บนโครงสร้างพื้นฐานสะพานที่ดำเนินการโดยบุคคลที่สาม และภายหลังถูกแปลงเป็น 12,467 ETH ขณะที่ Offchain Labs ชี้แจงว่าไม่ได้กระทบสะพานหลัก (native bridge) ของ Arbitrum ประเด็นที่ต้องจับตา สะพานข้ามเชนยังเป็นจุดเสี่ยงสูง เนื่องจากต้องยืนยันเหตุการณ์ข้ามบล็อกเชนที่แตกต่างกัน พร้อมปกป้องสินทรัพย์ที่ถูกนำมารวมไว้ ความผิดพลาดด้านการยืนยันข้อความ (message validation), ตรรกะสัญญา (contract logic) หรือการควบคุมสิทธิ์เข้าถึง อาจนำไปสู่การจ่ายเงินที่ไม่มีสินทรัพย์หนุนหลังเช่นกรณีนี้ Blockaid ระบุว่าการโจมตีเดือนกรกฎาคม "ดูเหมือนเกี่ยวข้อง" กับเหตุ Verus Ethereum Bridge เดือนพฤษภาคม โดยชี้ว่ามาจากสัญญาเดียวกัน ช่องทางเข้าเดียวกัน และบั๊กคลาสเดียวกัน แต่ยังไม่ยืนยันว่าเป็นการนำช่องโหว่เดิมมาใช้ซ้ำแบบตรงตัว สถานะล่าสุด ณ เวลาจัดทำรายงาน แหล่งข้อมูลยืนยันว่าเงินได้ถูกย้ายออกจากสะพาน Verus ไปยังกระเป๋าผู้โจมตีรายใหม่แล้ว แต่ยังไม่ชัดเจนว่ามีสินทรัพย์ใดถูกอายัด ส่งคืน หรือกู้คืนได้หรือไม่ และยังไม่มีการประกาศกรอบเวลาการแก้ไข หรือแผนการดำเนินงานของสะพานที่อัปเดต จำเป็นต้องมีการวิเคราะห์เชิงเทคนิคเพิ่มเติมเพื่อระบุว่า ช่องโหว่เดือนพฤษภาคมถูกปล่อยไว้โดยไม่อุดหรือไม่ มีการใช้จุดอ่อนที่เกี่ยวเนื่อง หรือผู้โจมตีพบเส้นทางอื่นผ่านกระบวนการ import นอกจากนี้ การเคลื่อนไหวถัดไปของผู้โจมตี (การแปลงสินทรัพย์ การใช้มิกเซอร์ หรือการถอนออก) จะถูกติดตามเพื่อดูสัญญาณการฟอกเงินหรือโอกาสในการกู้คืน ลิงก์สำคัญ สัญญาสะพานเป้าหมาย: ที่อยู่ผู้โจมตี: ข่าวนี้ยังอยู่ระหว่างติดตามความคืบหน้า และจะอัปเดตเมื่อมีรายงานเชิงเทคนิคหรือข่าวการกู้คืนเพิ่มเติม