Verus Coin verliest 7,5 miljoen dollar door validatiefout

Het blockchain beveiligingsbedrijf SlowMist waarschuwt voor een ernstige exploit op het Verus Coin netwerk. Een aanvaller slaagde erin om ongeveer 7,5 miljoen dollar aan crypto-middelen uit de bridge van Verus Coin te ontvreemden. De aanval exploiteert een kritieke fout in de validatie van cross-chain transacties, waardoor geverifieerde betalingen zonder adequate economische dekking werden vrijgegeven.

SlowMist_Team @SlowMist_Team

🚨 SlowMist TI Alert 🚨

💸 @VerusCoin Loss: ~$7.5M

⚠️ Unlike the prior 0x6990…b321 exploit, which decoupled the validated proof from the executed transfer payload, this attack hash-bound the transfers to the CCE but failed to validate the CCE’s economic backing; both exploit flawed cross-chain import validation.

🔍 Root Cause: `VerusProof.checkExportAndTransfers` verified selected CCE fields—including `hashReserveTransfers` against attacker-supplied serialized transfers and the source/destination IDs—but did not enforce the CCE’s accounting semantics. It failed to parse or validate `totalamounts`, `totalfees`, `totalburned`, CTxOut `nValue`, or whether the prior CCE outpoint carried sufficient value and assets to cover the claimed transfers. As a result, a matching transfer hash was incorrectly treated as authorization to release bridge assets, rather than merely a commitment to the requested transfers.

📌 Attacker EOA: 0xbda71b58cec0b1c20a8f87ccd52fa0679747855c
📌 Victim Bridge: 0x71518580f36feceffe0721f06ba4703218cd7f63
📌 Vulnerable Contract: 0x54e03a1682fd0bb065b669f6296f97028dcfd4ce
📌 Fund Receiver: 0xcfd0a20703cd11e0b9f665e1c3f1ef989c142d54

Impact: The attacker submitted a successor CCE anchored to an accepted Verus state root, containing a hash commitment to eight attacker-defined reserve transfers. Because the bridge did not verify whether the CCE’s economic fields backed those transfers, it executed eight payouts from bridge custody to the attacker-controlled receiver—releasing ETH, DAI, USDC, USDT, and four additional tokens without enforced cross-chain asset backing.

Powered by https://t.co/Mz5jOnwBjz
Tx: https://t.co/74w7wESy9s
https://t.co/1EB12RWv13

23 Jul 2026View full tweet on X ›

Hoe de aanval werkte

De hack richt zich op de functie VerusProof.checkExportAndTransfers, die cross-chain transfers controleert. Hoewel deze functie bepaalde velden van de CCE (Cross-Chain Element) verifieerde, omleidden de controles veel cruciale economische parameters. De aanvaller exploiteerde dit gat door een vervolgstuk CCE in te dienen dat was gekoppeld aan een geaccepteerde Verus-statuswortel. Dit CCE bevatte een hash-toezegging van acht door de aanvaller gedefinieerde reserve-overboekingen.

Omdat de bridge niet verificeerde of de economische velden van de CCE deze transfers daadwerkelijk ondersteunden, voerde het systeem acht uitkeringen uit vanuit de bridge-bewaarneming naar een door de aanvaller gecontroleerd adres. Op deze manier werden stablecoins zoals USDT, USDC en DAI ontvreemd, evenals ETH en vier andere tokens.

Eerdere kwetsbaarheid op dezelfde plaats

Dit is niet het eerste incident waarbij Verus Coin te maken krijgt met problemen in de cross-chain import validatie. Bij een eerdere exploit (0x6990…b321) koppelde het systeem de geverifieerde proof los van de uitgevoerde transfer-payload. Beide aanvallen wijzen op dezelfde onderliggende architectuurprobleem: de bridge valideert simpelweg niet goed genoeg of het gespecificeerde vorige CCE-uitpunt voldoende waarde en assets bevatte om de geclaimde transfers te dekken.

SlowMist meldt dat het aanvallersadres 0xbda71b58cec0b1c20a8f87ccd52fa0679747855c is en dat het exploit-fonds naar 0xcfd0a20703cd11e0b9f665e1c3f1ef989c142d54 zijn verstuurd. De getroffen bridge is 0x71518580f36feceffe0721f06ba4703218cd7f63. Voor volledige technische details verwijst SlowMist naar hun analyse op hun website.

Geen financieel advies. Blockchain Stories biedt uitsluitend educatieve en informatieve content. Crypto assets zijn zeer volatiel en je kunt je volledige inleg verliezen. Doe altijd je eigen onderzoek. Lees onze volledige disclaimer.

Affiliate vermelding. Sommige links op deze site zijn partner/affiliate links. Als je je via zo'n link aanmeldt bij een partner, ontvangen wij mogelijk een commissie, zonder extra kosten voor jou. Dit beïnvloedt nooit onze berichtgeving. Lees onze redactionele richtlijnen.