A Ponte Verus–Ethereum foi drenada pela segunda vez em cerca de dois meses, levantando questões desconfortáveis sobre se uma vulnerabilidade que já havia sido explorada uma vez chegou a ser realmente corrigida. A empresa de segurança Blockaid detectou a mais recente exploração da ponte Verus Ethereum e confirmou que um invasor abusou do caminho de importação da ponte para acionar pagamentos sem lastro no lado Ethereum, saindo com aproximadamente US$ 7,54 milhões em ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD. Todos os ativos roubados foram posteriormente convertidos em ETH.
Summary
Principais pontos
- A Ponte Verus–Ethereum foi explorada duas vezes em dois meses, com o roubo mais recente totalizando aproximadamente US$ 7,54 milhões.
- Ambos os ataques abusaram do mesmo caminho de importação da ponte e da mesma classe de vulnerabilidade, acionando pagamentos sem lastro no lado Ethereum.
- A exploração de maio drenou cerca de US$ 11,5 milhões; o invasor posteriormente devolveu 4.052,4 ETH após manter uma recompensa white-hat de 25%.
- Os fundos recuperados foram redepositados na ponte em 8 de julho — e a ponte foi drenada novamente pouco depois.
- O ataque mais recente foi realizado por um invasor diferente usando uma nova carteira, de acordo com a Blockaid.
Segundo ataque atinge a Ponte Verus–Ethereum em menos de dois meses
O que torna este incidente particularmente marcante não é apenas o valor roubado, mas o timing e a mecânica por trás dele. A ponte havia recebido de volta recentemente a maior parte dos fundos levados na exploração de 18 de maio, que havia drenado cerca de US$ 11,5 milhões. Esses ativos recuperados foram redepositados na mesma ponte em 8 de julho. Em menos de duas semanas, um segundo invasor atacou — usando o mesmo contrato, o mesmo caminho de entrada e a mesma classe de falha.
De acordo com a Blockaid, o invasor mais recente operou a partir de uma nova carteira e não tinha conexão aparente com o incidente de maio. As duas explorações estão ligadas não pelo autor, mas pela oportunidade: uma fraqueza estrutural não resolvida que permaneceu acessível a qualquer pessoa que soubesse onde procurar.
Detalhes do roubo mais recente de US$ 7,54 milhões
A exploração seguiu a mesma lógica mecânica de sua predecessora. Ao manipular o caminho de importação da ponte, o invasor forçou o lado Ethereum da ponte a liberar ativos reais contra reivindicações que tinham pouco ou nenhum lastro no lado Verus. O resultado foi uma drenagem multi-token — ETH, Bitcoin tokenizado, uma variedade de stablecoins incluindo USDC, USDT e EURC, além de MKR e scrvUSD — todos canalizados para fora e rapidamente consolidados em ETH.
A Blockaid sinalizou o ataque em tempo real, observando explicitamente que a classe de vulnerabilidade era idêntica à explorada em maio. A detecção da empresa destacou que o mesmo contrato de ponte e o mesmo caminho de entrada haviam sido usados, apontando para uma falha que persistiu em ambos os incidentes.
Comparação com a exploração de maio e invasores envolvidos
O evento de maio foi maior em termos de valor em dólares, com perdas de aproximadamente US$ 11,5 milhões. Os ativos roubados naquela ocasião foram convertidos em aproximadamente 5.402,4 ETH. O que se seguiu foi algo incomum no espaço de segurança cripto: o invasor devolveu 4.052,4 ETH, mantendo uma recompensa white-hat de 25% como compensação por identificar a falha. A equipe Verus aceitou o acordo, e os fundos devolvidos foram novamente alocados na ponte em 8 de julho.
Essa decisão agora parece custosa. Reintroduzir liquidez em um sistema não corrigido efetivamente redefiniu o alvo. O segundo invasor — uma pessoa diferente, uma carteira nova, mas o mesmo manual — explorou a janela antes que qualquer correção estrutural estivesse em vigor, de acordo com os dados on-chain disponíveis relatados pela CoinDesk.
Vulnerabilidade no caminho de importação da ponte permite pagamentos de ETH sem lastro
A falha central é simples em conceito, ainda que perigosa na execução. Ambas as explorações funcionaram porque o caminho de importação da ponte podia ser manipulado para autorizar pagamentos no lado Ethereum sem que os ativos correspondentes estivessem devidamente bloqueados no lado Verus. A ponte liberou dinheiro real contra reivindicações que valiam quase nada.
Esse tipo de falha lógica — em que o código é executado como escrito, mas as próprias regras permitem a saída de fundos — é diferente de uma quebra criptográfica. Nenhuma criptografia foi violada. O sistema foi enganado por meio de sua própria lógica interna.
Natureza da exploração e classe comum de vulnerabilidade
A Blockaid confirmou que ambos os ataques compartilharam a mesma classe de vulnerabilidade. Isso é significativo: significa que a falha não foi corrigida entre maio e julho, e o redepósito de fundos em 8 de julho efetivamente recarregou uma ponte que ainda carregava uma fraqueza conhecida e documentada.
A implicação mais ampla para a infraestrutura cross-chain é difícil de ignorar. A segurança de uma ponte depende inteiramente da integridade de seu mecanismo de verificação — o processo que confirma que cada retirada em um lado é genuinamente lastreada por ativos bloqueados no outro. Quando esse mecanismo tem uma falha conhecida e os fundos são realocados sem uma correção confirmada, o sistema não está se recuperando. Ele está esperando.
Impacto de falhas não resolvidas na segurança de pontes
De acordo com dados citados pela CoinDesk a partir da DefiLlama, a Verus detinha perto de US$ 100 milhões em valor total bloqueado no início de 2025. No momento da exploração mais recente, esse valor havia caído para cerca de US$ 9 milhões — uma erosão lenta, acelerada de forma acentuada pelos dois hacks.
Essa trajetória importa para além dos números brutos de perda. Cada exploração não apenas remove o valor roubado; ela sinaliza para provedores de liquidez e usuários que o sistema pode não ser seguro para interagir. A drenagem de confiança se soma à drenagem de ativos.
Esforços de recuperação e realocação de fundos
O incidente de maio produziu um dos desfechos mais incomuns na história recente da segurança cripto. Após drenar a ponte e converter os ativos em cerca de 5.402,4 ETH, o invasor devolveu 4.052,4 ETH — mantendo 25% como taxa white-hat. A equipe Verus aceitou essa recuperação parcial, e os fundos devolvidos foram formalmente redepositados na ponte em 8 de julho, de acordo com registros on-chain compilados por pesquisadores de segurança.
Arranjos white-hat desse tipo não são incomuns em DeFi. Eles oferecem um caminho pragmático para recuperação parcial quando a aplicação da lei é difícil e os invasores são anônimos. Mas carregam uma suposição implícita: de que a vulnerabilidade identificada pelo invasor será corrigida antes que os fundos recuperados retornem ao sistema.
Neste caso, essa suposição parece ter sido equivocada. O mesmo caminho de entrada e a mesma classe de vulnerabilidade que permitiram o roubo de maio permaneceram disponíveis após o redepósito dos fundos — e um segundo invasor, não relacionado, a encontrou em menos de duas semanas.
O que isso significa para a segurança de pontes em Ethereum
A situação da Verus é uma ilustração extrema de um padrão que está se ampliando na infraestrutura cross-chain. Em uma janela de seis horas no mesmo dia da exploração mais recente da Verus, pelo menos outros dois protocolos também foram drenados em incidentes separados, por um total combinado superior a US$ 35 milhões em todas as plataformas afetadas, de acordo com a reportagem da CoinDesk sobre dados de blockchain avaliados pela BlockAid e pela Peckshield. Nenhum desses ataques quebrou a criptografia subjacente. Cada um foi ou uma falha lógica ou uma permissão comprometida — categorias de vulnerabilidade que auditorias podem não detectar e que muitas vezes persistem silenciosamente até que alguém com o conhecimento certo aja.
O caso Verus acrescenta uma lição mais dura: recuperar fundos de uma exploração e reinseri-los em um sistema não corrigido não restaura a segurança. Restaura a exposição. Para usuários e provedores de liquidez que avaliam pontes cross-chain, a questão já não é apenas se uma ponte foi auditada, mas se as falhas identificadas foram comprovadamente remediadas antes de o capital voltar a fluir.
FAQ
Qual foi a causa das explorações da Ponte Verus–Ethereum?
Ambas as explorações abusaram do caminho de importação da ponte, acionando pagamentos sem lastro no lado Ethereum devido à mesma classe de vulnerabilidade. A ponte liberou ativos reais contra reivindicações que não estavam devidamente lastreadas no lado Verus.
Quanto foi roubado na exploração mais recente da Ponte Verus–Ethereum?
Aproximadamente US$ 7,54 milhões foram drenados em vários tokens — incluindo ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD — e posteriormente convertidos em ETH.
Os fundos do hack anterior foram totalmente perdidos?
Não. O invasor de maio devolveu 4.052,4 ETH após manter uma recompensa white-hat de 25%. Esses fundos foram redepositados na ponte em 8 de julho, antes de ocorrer a segunda exploração.
O ataque atual foi realizado pelo mesmo invasor de antes?
Não. De acordo com a Blockaid, o ataque mais recente foi realizado por um invasor diferente usando uma nova carteira, sem conexão aparente com o incidente de maio.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Qual foi a causa das explorações da Ponte Verus–Ethereum?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Ambas as explorações abusaram do caminho de importação da ponte, acionando pagamentos sem lastro no lado Ethereum devido à mesma classe de vulnerabilidade. A ponte liberou ativos reais contra reivindicações que não estavam devidamente lastreadas no lado Verus.”}},{“@type”:”Question”,”name”:”Quanto foi roubado na exploração mais recente da Ponte Verus–Ethereum?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Aproximadamente US$ 7,54 milhões foram drenados em vários tokens — incluindo ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD — e posteriormente convertidos em ETH.”}},{“@type”:”Question”,”name”:”Os fundos do hack anterior foram totalmente perdidos?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Não. O invasor de maio devolveu 4.052,4 ETH após manter uma recompensa white-hat de 25%. Esses fundos foram redepositados na ponte em 8 de julho, antes de ocorrer a segunda exploração.”}},{“@type”:”Question”,”name”:”O ataque atual foi realizado pelo mesmo invasor de antes?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Não. De acordo com a Blockaid, o ataque mais recente foi realizado por um invasor diferente usando uma nova carteira, sem conexão aparente com o incidente de maio.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
