L'exploit du bridge Verus-Ethereum utilise une preuve Merkle falsifiée, 11,5 M$ volés
Le 18 mai, le pont Verus-Ethereum aurait été vidé d'environ 11,5 millions de dollars après que des attaquants ont utilisé une preuve de Merkle falsifiée.
Selon PeckShieldAlert, l'attaquant a pris 103,6 tBTC, 1 625 ETH et environ 147 000 USDC du contrat du pont. Les fonds ont ensuite été échangés contre environ 5 402,4 ETH et auraient été consolidés dans un seul portefeuille.
Blockaid a déclaré que le pont Verus-Ethereum avait correctement vérifié les state roots notariés (8/15 notaires), mais avait néanmoins échoué à lier correctement la valeur de la chaîne de destination à la preuve de la chaîne source. Le chercheur en sécurité “evilcos” a également indiqué qu'une preuve de Merkle falsifiée pouvait passer la validation du pont. Verus avait publié deux jours plus tôt un correctif d'urgence "urgent et obligatoire" (v1.2.14-2), mais il n'est pas clair s'il a comblé cette faiblesse spécifique.
Pour les traders, l'exploitation du pont Verus-Ethereum renforce l'idée que la vérification des ponts cross-chain reste un risque de sécurité majeur. Le contexte général s'aggrave : les pertes liées aux ponts ont atteint environ 328,6 millions de dollars (huit incidents majeurs jusqu'à la mi-mai). Même si cela n'affecte pas directement les fondamentaux spot, cela peut susciter à court terme un sentiment de repli sur le risque envers les actifs DeFi cross-chain et la liquidité.
Bearish
L'exploit du bridge Verus–Ethereum met en évidence un schéma répétable de défaillance de vérification des bridges : même lorsque les racines d'état notariales sont validées, le système peut quand même manquer une liaison appropriée entre les preuves de la chaîne source et la valeur sur la chaîne de destination. Cela ravive les inquiétudes concernant la sécurité de la garde cross-chain et la liquidité, ce qui peut peser sur le sentiment DeFi cross-chain à court terme.
Même si les actifs volés peuvent être rapidement échangés et ne changent pas nécessairement les fondamentaux des protocoles à long terme pour des tokens non liés, le flux d'informations s'ajoute aux pertes déjà élevées liées aux bridges (~328,6 M$ avec huit incidents majeurs jusqu'à la mi-mai). Historiquement, des incidents similaires conduisent souvent les traders à réduire leur exposition aux bridges connectés, aux actifs wrapped et aux pools de liquidité jusqu'à ce que des audits et des mesures d'atténuation soient confirmés.