Verus–Ethereum Bridge（Verus–以太坊跨链桥）在大约两个月内第二次被掏空，这引发了一个令人不安的问题：此前已经被利用过的漏洞是否真的被修复过。安全公司 Blockaid检测到这起最新的 Verus–Ethereum跨链桥攻击，并确认攻击者滥用了该桥的导入路径（import path），在以太坊侧触发了无抵押的支付，最终卷走了约754 万美元的 ETH、tBTC、USDC、USDT、EURC、MKR 和 scrvUSD。所有被盗资产随后都被兑换成了 ETH。
Summary
要点速览
- Verus–Ethereum Bridge 在两个月内两次被攻击，最近一次被盗金额约为 754 万美元。
- 两次攻击都滥用了同一个跨链桥导入路径和同一类漏洞，在以太坊侧触发了无抵押支付。
- 5 月的攻击大约掏空了 1150 万美元；攻击者随后归还了 4,052.4 枚 ETH，并保留 25% 作为白帽赏金。
- 追回的资金于 7 月 8 日重新存入该跨链桥——不久之后跨链桥再次被掏空。
- 据 Blockaid 称，最新攻击是由使用新钱包的另一名攻击者实施的。
两个月内第二次攻击命中 Verus–Ethereum Bridge
这起事件之所以格外引人注目，不仅在于被盗金额，还在于其时间点和背后的机制。就在不久前，该跨链桥才刚刚收回了在5 月 18 日攻击中被盗的大部分资金，当时大约被掏空了1150 万美元。这些追回的资产在7 月 8 日被重新存入同一条跨链桥。不到两周，第二名攻击者便出手——使用同一个合约、同一条入口路径以及同一类缺陷。
据 Blockaid 称，最新的攻击者使用的是一个新钱包，与 5 月事件没有明显关联。这两次攻击之间的联系不在于攻击者，而在于机会：一个尚未解决的结构性弱点，对任何知道该从哪里下手的人都敞开着。
最新 754 万美元盗窃事件的细节
这次攻击在机械逻辑上与前一次如出一辙。通过操纵跨链桥的导入路径（import path），攻击者迫使跨链桥的以太坊侧释放真实资产，而这些资产在 Verus 侧几乎没有或根本没有对应的抵押。结果是多种代币被掏空——ETH、代币化比特币、一系列稳定币（包括 USDC、USDT 和 EURC），以及 MKR 和 scrvUSD——所有这些都被转出并迅速汇集成 ETH。
Blockaid 实时标记了这次攻击，并明确指出其漏洞类别与 5 月被利用的完全相同。该公司的检测结果强调，使用的是同一跨链桥合约和同一入口路径，指向了一个在两次事件中都持续存在的缺陷。
与 5 月攻击及相关攻击者的对比
从金额上看，5 月事件的损失更大，大约为1150 万美元。当时被盗资产被兑换成约5,402.4 枚 ETH。随后发生的事情在加密安全领域颇为罕见：攻击者归还了4,052.4 枚 ETH，并保留25% 的白帽赏金，作为发现漏洞的报酬。Verus 团队接受了这一安排，且这些归还的资金于 7 月 8 日重新部署回跨链桥。
这一决定现在看来代价高昂。向一个尚未打补丁的系统重新注入流动性，实际上等于重置了靶子。据 CoinDesk 报道的链上数据表明，第二名攻击者——不同的人、全新的钱包，但使用同样的剧本——在任何结构性修复到位之前，就利用了这一窗口期。
跨链桥导入路径中的漏洞导致无抵押 ETH 支付
这一核心缺陷在概念上很直观，尽管在执行上极具危险性。两次攻击之所以奏效，是因为跨链桥的导入路径可以被操纵，从而在以太坊侧授权支付，而 Verus 侧并未正确锁定对应资产。跨链桥用真金白银兑付了几乎一文不值的索赔。
这种逻辑缺陷——代码按设计执行，但规则本身允许资金流出——不同于密码学被攻破。没有任何加密算法被破解。系统是被其自身的内部逻辑“骗”了。
攻击性质及共同的漏洞类别
Blockaid 确认，两次攻击共享同一类漏洞。这一点意义重大：这意味着该缺陷在 5 月至 7 月期间并未被修补，而 7 月 8 日资金的重新存入，实际上是重新装填了一条仍然带有已知、已记录弱点的跨链桥。
对跨链基础设施而言，更广泛的影响不容忽视。跨链桥的安全性完全取决于其验证机制的完整性——即确认一侧的每一笔提现都确实由另一侧锁定的资产所支持的过程。当这一机制存在已知缺陷，而资金在未确认修复完成前就被重新注入时，系统并不是在恢复，而是在“等待”。
未解决缺陷对跨链桥安全性的影响
据 CoinDesk 引用 DefiLlama 的数据，Verus 在 2025 年初的总锁仓价值（TVL）接近 1 亿美元。截至最新攻击发生时，这一数字已降至约900 万美元——缓慢的流失被两次黑客攻击急剧加速。
这一走势的重要性不仅体现在绝对损失数字上。每一次攻击不仅会拿走被盗金额，还会向流动性提供者和用户发出信号：这个系统可能并不安全。信心的流失会叠加资产的流失。
资金追回与重新部署
5 月事件在近期加密安全史上产生了一个颇为罕见的结果。在掏空跨链桥并将资产兑换成约 5,402.4 枚 ETH 之后，攻击者归还了 4,052.4 枚 ETH——保留 25% 作为白帽费用。Verus 团队接受了这次部分追回，且根据安全研究人员整理的链上记录，这些归还资金于 7 月 8 日被正式重新存入跨链桥。
此类白帽安排在 DeFi 中并不罕见。当法律执行困难且攻击者匿名时，它们为部分资金追回提供了一条务实路径。但这类安排隐含一个前提：在追回的资金重新回到系统之前，攻击者所指出的漏洞会得到修复。
在本案中，这一前提似乎并未成立。促成 5 月盗窃的同一入口路径和同一类漏洞，在资金重新存入后依然存在——而第二名、互不相关的攻击者在两周内就发现并加以利用。
这对以太坊跨链桥安全意味着什么
Verus 的情况是一个极端案例，却生动体现了跨链基础设施中正在扩散的一种模式。在最新 Verus 攻击发生的同一天内的 6 小时窗口中，据 CoinDesk 基于 BlockAid 和 Peckshield 评估的链上数据报道，至少还有两个协议在不同事件中被掏空，所有受影响平台合计损失超过 3500 万美元。这些攻击都没有攻破底层密码学。每一起要么是逻辑缺陷，要么是权限被攻陷——这两类漏洞往往会被审计遗漏，并在暗处潜伏，直到某个掌握正确知识的人出手。
Verus 案例带来了一个更严厉的教训：从一次攻击中追回资金并将其重新注入一个未打补丁的系统，并不会恢复安全性，只会恢复风险敞口。对于正在评估跨链桥的用户和流动性提供者而言，问题不再只是某条跨链桥是否经过审计，而是已识别的缺陷在资金重新流入之前是否已经得到可验证的修复。
常见问题
Verus–Ethereum Bridge 被攻击的原因是什么？
两次攻击都滥用了跨链桥的导入路径（import path），由于同一类漏洞，在以太坊侧触发了无抵押支付。跨链桥向在 Verus 侧并未得到妥善抵押的索赔释放了真实资产。
最近一次 Verus–Ethereum Bridge 攻击中被盗金额是多少？
大约有 754 万美元以多种代币形式被掏空——包括 ETH、tBTC、USDC、USDT、EURC、MKR 和 scrvUSD——随后都被兑换成 ETH。
上一次黑客攻击中的资金是否全部损失？
并非如此。5 月的攻击者在保留 25% 白帽赏金后，归还了 4,052.4 枚 ETH。这些资金在第二次攻击发生前，于 7 月 8 日重新存入跨链桥。
这次攻击是否由同一名攻击者实施？
不是。据 Blockaid 称，最新攻击是由使用新钱包的另一名攻击者实施的，与 5 月事件没有明显关联。
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Verus–Ethereum Bridge 被攻击的原因是什么？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”两次攻击都滥用了跨链桥的导入路径（import path），由于同一类漏洞，在以太坊侧触发了无抵押支付。跨链桥向在 Verus 侧并未得到妥善抵押的索赔释放了真实资产。”}},{“@type”:”Question”,”name”:”最近一次 Verus–Ethereum Bridge 攻击中被盗金额是多少？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”大约有 754 万美元以多种代币形式被掏空——包括 ETH、tBTC、USDC、USDT、EURC、MKR 和 scrvUSD——随后都被兑换成 ETH。”}},{“@type”:”Question”,”name”:”上一次黑客攻击中的资金是否全部损失？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”并非如此。5 月的攻击者在保留 25% 白帽赏金后，归还了 4,052.4 枚 ETH。这些资金在第二次攻击发生前，于 7 月 8 日重新存入跨链桥。”}},{“@type”:”Question”,”name”:”这次攻击是否由同一名攻击者实施？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”不是。据 Blockaid 称，最新攻击是由使用新钱包的另一名攻击者实施的，与 5 月事件没有明显关联。”}}]}
本文在人工智能协助下完成，由编辑团队审核。
