L'échec réside dans la validation du soutien financier, selon Blockaid.
PeckShield indique qu'il y a eu 8 attaques de ponts depuis la mi-mai.
Le pont qui relie les réseaux Verus et Ethereum a été vidé pour environ 11,58 millions de dollars lors d'une attaque menée le 17 mai, selon la société de cybersécurité en chaîne Blockaid. Les jetons volés s'élevaient à 1 625 éthers (ETH), 103,6 tBTC (une version enveloppée de Bitcoin) et 147 000 $ en stablecoin USDC. L'équipe Verus n'a pas encore publié de déclaration officielle.
Au moment de la rédaction, l'adresse associée au pirate informatique détient environ 11,4 millions de dollars en étherconvertis à partir des actifs retirés du pont, selon les données d'Arkham.
L’échec : absence de soutien financier, preuve cryptographique valable
Selon l'équipe Blockaid, le contrat intelligent de pont qui reliait les deux chaînes a correctement vérifié trois éléments : la racine d'état notariée Verus (avec huit des quinze signatures notariées valides), la preuve Merkle de l'exportation inter-chaînes et que le hachage du paquet de transfert correspond à celui engagé pour l'exportation.
Ce qu'il n'a pas vérifié, c'est que les montants déclarés lors de cette exportation (via des fonctions telles que totalMontants, totalBrûlé, totalFrais) étaient effectivement soutenus par une valeur verrouillée ou brûlée sur la chaîne d'approvisionnement.
Un pont inter-chaînes (un mécanisme qui permet de déplacer les actifs d'un réseau à un autre sans intermédiaire centralisé) dépend du fait que chaque paiement à destination soit adossé à un bloc-or-burn équivalent à l'origine. Le pont Verus-Ethereum a vérifié l'intégrité formelle des messages, mais pas cette correspondance économiqueselon les chercheurs de Blockaid.
L'attaquant a construit une transaction de seulement 0,02 VRSC (jeton natif Verus) coûtant environ 10 $ de frais, dont le champ d'exportation a compromis un hachage de transfert mais a déclaré des montants sources vides. Le réseau Verus a accepté cette transaction comme valide ; Les notaires ont signé la racine d'état résultante sans détecter d'anomalie.
Lorsque l'attaquant a appelé la fonction soumettreImportations sur Ethereum avec le paquet sérialisé, le contrat a vérifié que le hachage correspondait, décodé le blob et libéré les fonds de ses réservesselon Blockaid. Selon cette équipe, intégrer cette validation économique dans la fonction checkCCEValues du contrat nécessiterait environ dix lignes de Solidity.
Selon BlockSec Phalcon, une autre société de cybersécurité en chaîne, entre vérification des messages et exécution des paiements sur Ethereum Il n'existe aucun contrôle confirmant si le soutien économique dans la chaîne d'origine est suffisant. Cette firme a également précisé que le contrat déployé n'est pas open source et que son analyse est basée sur les transactions d'attaque et le référentiel public, ce qui peut ne pas refléter la mise en œuvre complète.
Une attaque parmi tant d’autres
Depuis la mi-mai 2026, huit exploits contre les protocoles d'échange inter-chaînes ont accumulé 328,6 millions de dollars de pertes, selon les analystes en sécurité de la plateforme PeckShield. Parmi eux, les hacks de KelpDAO et LayerZero, ainsi que celui subi par l'Hyperbridge entre Polkadot et Ethereum.
La société a inclus dans ce compte le récent piratage de THORChain, une plateforme qui fonctionne comme un échange décentralisé (DEX) et non pas strictement comme un pont, même si elle facilite également les échanges entre différentes chaînes.
L'attaque contre le pont Verus-Ethereum rejoint une liste d'incidents qui partagent le même schéma : des contrats intelligents qui vérifient la forme des messages qu'ils reçoivent, mais pas la valeur qui les sous-tend.