Verus-Ethereum 跨鏈橋遭攻擊，1,158 萬美元被掏空：金額驗證缺漏再成破口
跨鏈橋是 DeFi 最危險的地方。從 Wormhole 2022 年 3.2 億美元、Nomad 2022 年 1.9 億美元一路下來，「跨鏈狀態驗證對了、但金額沒對」的同一類漏洞反覆出現，2026 年到目前為止已經是第 8 起橋接攻擊，累積損失至少 3.28 億美元。Verus 這次就踩到同樣的地雷。
5/17 深夜 Blockaid 偵測到 Verus-Ethereum 橋遭攻擊，103.6 顆 tBTC、1,625 顆 ETH 與 14.7 萬 USDC 被搬走，攻擊者再把所有資產換成 5,402.4 顆 ETH（約 1,140 萬美元），錢包則是 14 小時前用 Tornado Cash 1 顆 ETH 啟動的。Blockaid 點出根本原因是 checkCCEValues 函式漏了「來源金額驗證」這一步：橋確實驗了 Verus 那邊 8/15 個公證人的簽章，但從沒檢查跨鏈訊息聲稱的金額是否真的被存進來。Blockaid 說補這個洞只要約 10 行 Solidity。
- Blockaid：「Verus-Ethereum 橋 1,158 萬美元被搬空 — 疑似根本原因。跟 Wormhole-2022 / Nomad-2022 同一類:來源金額與目的地金額沒綁定。橋正確驗了什麼:Verus 公證人 8/15 簽章全對、密碼學沒問題。但 checkCCEValues 沒有檢查跨鏈訊息聲稱的金額是否實際被存入。」
跨鏈橋是 DeFi 最常被打穿的環節，「跨鏈訊息驗證過了、但金額沒對上」這類漏洞反覆出現。Verus 的以太坊跨鏈橋今年 5 月才因為少驗來源金額被搬走 1,158 萬美元。7/8 資金一度回補到橋上，沒想到兩週後，同一條橋、同一類漏洞又被打開。
7/22 約 21:30 UTC，Blockaid 偵測到 Verus 以太坊橋二度遭攻擊，攻擊者循相同路徑觸發無足額擔保的以太坊端撥款，搬走約 755 萬美元的 ETH、tBTC 與多種穩定幣；這次是不同錢包的新攻擊者，但漏洞類別和 5 月相同。這起攻擊還落在同一波橋接風暴裡，當天 AFX（2,415 萬美元）與 Bitcoin L2 B² Network（386 萬美元）接連被打，數小時內三個專案合計損失約 3,556 萬美元。
- Ash Crypto：「一天之內三個加密專案被駭、合計被偷走 3,556 萬美元：AFX 損失 2,415 萬、Verus 755 萬、B² Network 386 萬美元。」
- Biturai：「Verus 以太坊橋被搬走 750 萬美元，用的是和 5 月同一類的漏洞。反覆被同一種漏洞攻破，代表事後修補失敗的問題比損失金額本身更值得警惕。」
- sheddynix：「Verus 這次重演了 5 月那次的漏洞：跨鏈橋少驗來源金額，資金被換成 ETH 再送進 Tornado Cash，凸顯 DeFi 反覆存在的風險。」