El exploit del puente Verus-Ethereum utiliza una prueba de Merkle forjada, se robaron 11,5M

| cryptopolitan.com
El 18 de mayo, la explotación del puente Verus-Ethereum supuestamente drenó unos 11,5 millones de dólares después de que los atacantes utilizaran una prueba de Merkle falsificada. Según PeckShieldAlert, el atacante se llevó 103,6 tBTC, 1.625 ETH y alrededor de 147.000 USDC del contrato puente. Los fondos fueron posteriormente intercambiados por unos 5.402,4 ETH y, según se informa, consolidados en una única dirección. Blockaid afirmó que el puente Verus-Ethereum verificó correctamente las raíces de estado notarizadas (8/15 notarios), pero aún así no vinculó correctamente el valor del destino en la cadena con la prueba de la cadena de origen. El investigador de seguridad “evilcos” también señaló que una prueba de Merkle falsificada podría pasar la validación del puente. Verus había publicado un parche de emergencia “urgente y obligatorio” (v1.2.14-2) dos días antes, pero no está claro si evitó esta debilidad específica. Para los operadores, la explotación del puente Verus-Ethereum refuerza que la verificación entre cadenas sigue siendo un riesgo de seguridad clave. El contexto general empeora: las pérdidas relacionadas con puentes alcanzaron aproximadamente 328,6 millones de dólares (ocho incidentes principales hasta mediados de mayo). Aunque esto no afecte directamente a los fundamentales al contado, puede impulsar un sentimiento de aversión al riesgo a corto plazo hacia los activos DeFi y la liquidez entre cadenas.
Bearish
La explotación del puente Verus-Ethereum pone de manifiesto un patrón repetible de fallo en la verificación de puentes: incluso cuando las raíces de estado notarizadas se validan, el sistema aún puede no asegurar correctamente la vinculación entre las pruebas de la cadena de origen y el valor en la cadena de destino. Eso tiende a renovar las preocupaciones sobre la seguridad de la custodia y la liquidez entre cadenas, lo que puede presionar el sentimiento de DeFi cross-chain a corto plazo. Aunque los activos robados pueden intercambiarse rápidamente y eso no cambia necesariamente los fundamentos de protocolo a largo plazo para tokens no relacionados, el flujo de noticias se suma a los ya elevados totales de pérdidas por puentes (~328,6 M$ con ocho incidentes importantes hasta mediados de mayo). Históricamente, incidentes similares de puentes suelen llevar a los traders a reducir la exposición a puentes conectados, activos envueltos y piscinas de liquidez hasta que se confirmen auditorías y mitigaciones.