Verus-Ethereum 跨鏈橋在 7 月 23 日（週四）遭受第二次攻擊，攻擊者透過惡意建構的匯入請求，從該橋提走 730 萬美元至 750 萬美元的數位資產，據區塊鏈安全研究人員指出。此次漏洞利用了同一個「授權繞過」與「協定狀態假設」缺陷，而該缺陷曾在 5 月 17 日的攻擊中讓駭客竊取約 1,160 萬美元，最終使總損失約達 1,910 萬美元，涵蓋 66 天。安全分析師表示，根本原因是驗證邏輯不足：雖然跨鏈橋驗證了註記者（公證人，notary）簽名、狀態根（state roots）與 Merkle 證明，但未能確認所請求的付款金額是否與 Verus 端鎖定的資產相匹配，因此允許從以太坊（Ethereum）儲備中提領未被支持的款項（unbacked）。此事件凸顯跨鏈橋基礎設施中持續存在的安全挑戰：加密驗證雖然成功，但資產是否具備支持的商業邏輯驗證卻失敗。
攻擊者在跨鏈橋邏輯中利用授權繞過
此次攻擊包含一筆從 Verus 端惡意建構的匯入，其中帶有一個未被支持的付款請求（payout request），用於以太坊。根據安全分析師，跨鏈橋雖然驗證了註記者簽名、狀態根與 Merkle 證明，但未能驗證所請求的付款金額是否與在 Verus 端鎖定或匯出的資產相符。
Backward Labs 表示，根本原因是授權繞過與協定狀態假設問題。跨鏈橋接受了一筆已證明的匯入，用以授權多資產儲備的付款，但用於建立（creation）、授權（authorization）、轉帳雜湊（transfer hash）、筆數（count）以及經濟支持（economic backing）的關鍵上游檢查不足。有分析指出：「這一次，同樣的根本原因在 66 天內仍可被利用。」
多個監控工具以關鍵（critical）分數標記了該交易，指出包含狀態操控、任意鑄造（arbitrary minting）以及去中心化金融（DeFi）的資金外流（outflows）。
跨鏈橋儲備損失 ETH、USDC、DAI 以及另外六種資產
從跨鏈橋儲備中被抽走的資產包括 Ether、tBTC、MKR、USDC、Tether、EURC，以及 scrvUSD。至於 DAI，跨鏈橋與 Sky（原先稱為 MakerDAO）的抵押部位互動，以鑄造約 220,357 DAI 來履行這項詐欺性請求。
5 月 17 日的漏洞曾竊取約 1,160 萬美元，使用的是類似的方法，使合計損失約達 1,910 萬美元。
Backward Labs 發布概念驗證（Proof-of-Concept）與根本原因分析
Backward Labs 發布了一份報告與概念驗證，指出先前被破壞的不變條件（broken invariant）：「只有在源鏈（source-chain）進行儲備轉帳，且該儲備的 CCE 建立、授權、轉帳雜湊、筆數以及經濟支持都已在預期的跨鏈橋生命週期中被證明時，以太坊跨鏈橋儲備才可能被釋放。」
此漏洞凸顯跨鏈橋在安全性上的持續問題：加密驗證能夠成功，但用於資產是否具備支持的商業邏輯驗證卻失敗。跨鏈橋遭利用仍是 DeFi 中反覆出現的問題，往往導致無法挽回的損失，因為區塊鏈交易是不可變的。
常見問題
7 月 23 日 Verus-Ethereum 跨鏈橋發生了什麼？
攻擊者在 7 月 23 日利用了一個授權繞過漏洞，透過一筆惡意建構的匯入請求繞過資產支持（asset-backing）驗證，從而使數位資產（包括 ETH、USDC、DAI、tBTC、MKR、Tether、EURC 與 scrvUSD）被抽走 730 萬美元至 750 萬美元。
為什麼相同漏洞在 66 天內仍可被利用？
跨鏈橋的智能合約未能驗證付款金額是否與在 Verus 端鎖定的資產相匹配。雖然它驗證了加密證明與簽名，但用於建立、授權、轉帳雜湊、筆數以及經濟支持的關鍵上游檢查不足，因此讓同樣在 5 月 17 日被用來成功的攻擊方法在 7 月 23 日再次成功。
