Verus Bridge Exploiter gibt 8,5 Millionen US-Dollar nach Kopfgelddeal zurück – Neuigkeiten 2026

Der Angreifer hinter dem Verus-Ethereum-Brücke -Exploit hat am 18. Mai 2026 den Großteil der gestohlenen Gelder zurückgegeben, nachdem es einem ausgehandelten Kopfgeldgeschäft zugestimmt hatte. Laut On-Chain-Bestätigungen und Sicherheitsfirmenbeiträgen von CertiK und PeckShield, das Exploitwird gesendet 4.052,4 ETH (ca. 8,5 Millionen US-Dollar) zurück zum VerusCoin-Team, ungefähr vertreten 75 % der ursprünglichen ~11,4 Millionen US-Dollar wurden abgezogen aus dem Brückenvertrag.

Der kompromittierte Vertrag, 0x71518580f36feceffe0721f06ba4703218cd7f63diente als kettenübergreifende Brücke zwischen Verus und Ethereum und war der primäre Ausgang für Vermögenswerte, die zwischen den beiden Netzwerken bewegt wurden. Der Exploit und die anschließende Kopfgeldaushandlung sind einer der größeren Erfolge Weißhut Wiederherstellungen des Zyklus, obwohl die Einbehaltung von ~2,9 Millionen US-Dollar durch den Angreifer als „Kopfgeld“ weiterhin die Debatte über die Ethik und Anreize dieser Siedlungen anheizt.

Zeitleiste des Verus-Bridge-Exploits

• 18. Mai 2026: Der Verus-Ethereum-Brückenvertrag wurde für etwa 11,4 Millionen US-Dollar an ETH und überbrückten Vermögenswerten aufgelöst. Erste Warnungen werden von der On-Chain-Überwachung innerhalb von Minuten nach der ersten böswilligen Transaktion gemeldet.
• 18. bis 22. Mai: Das VerusCoin-Team bestätigte den Exploit, unterbrach den Bridge-Betrieb und eröffnete einen öffentlichen Verhandlungskanal mit dem Angreifer, indem es ein Kopfgeld für die Rückgabe von Geldern aussetzte und versicherte, dass keine rechtlichen Schritte unternommen werden.
• 23. bis 24. Mai: Der Angreifer signalisierte seine Bereitschaft zum Engagement über On-Chain-Nachrichten. Bedingungen für eine teilweise Rückgabe ausgehandelt.
• 25. Mai 2026: Der Angreifer übertrug 4.052,4 ETH zurück an eine vom VerusCoin-Team kontrollierte Adresse und schloss die Abrechnung mit einer Rückerstattung von etwa 75 % des gestohlenen Wertes ab.

Technische Details des Bridge-Exploits

Der Exploit folgte einem Muster, das in den Jahren 2024 bis 2026 immer häufiger bei Cross-Chain-Bridge-Vorfällen auftritt: Ein Fehler in der Nachrichtenüberprüfungs- oder Asset-Release-Logik der Bridge ermöglichte es einem Angreifer, Assets zu prägen oder abzuheben, ohne dass eine entsprechende Sperre oder ein Burn in der Gegenstückkette erfolgte. Sicherheitsuntersuchungen von PeckShield und CertiK zeigten, dass der Verus-Bridge-Vertrag eine nicht autorisierte Zustandsaktualisierung unter bestimmten Edge-Case-Bedingungen erlaubte, was es dem Angreifer ermöglichte, ETH und überbrückte Token in einer Folge großer Transaktionen zu entleeren.

Der ausgelaugte Vertrag:

Die anfänglichen Gesamtverluste wurden auf ungefähr geschätzt 11,4 Millionen US-Dollar, hauptsächlich auf ETH lautend, mit kleineren Positionen in überbrückten Verus-Vermögenswerten. Der Angreifer konsolidierte die abgezogenen Gelder in einer kleinen Anzahl von Wallets, bevor er Teile überbrückte oder austauschte.

Wie die Kopfgeldverhandlung funktionierte

Das VerusCoin-Team entschied sich für eine öffentliche Verhandlungsstrategie, anstatt den Fall sofort den Strafverfolgungsbehörden zu übergeben oder zu versuchen, die Kette durch zentralisierte Stablecoin-Emittenten einzufrieren. Das Muster, dem sie folgten, ist mittlerweile für die Wiederherstellung von Krypto-Brücken gut etabliert:

1. Öffentliches Angebot: Das Team kündigt einen festen Kopfgeldprozentsatz als Gegenleistung für die Rückgabe des Großteils der Gelder und die Verpflichtung an, keine rechtlichen Schritte einzuleiten.
2. On-Chain-Kommunikation: Beide Seiten tauschen signierte Nachrichten über Vertragsaufrufe oder Transaktionseingabedaten aus, um die Absicht zu bestätigen.
3. Testübertragung: Angreifer senden oft eine kleine Antwort als Beweis der Zusammenarbeit.
4. Vollständige Abrechnung: Eine größere Rückgabetransaktion schließt das Geschäft ab.

Im Verus-Fall behielt der Angreifer etwa 25 % des abgezogenen Wertes, also insgesamt rund 25 % 2,9 Millionen US-Dollar. Dies liegt am oberen Ende der Prämienprozentsätze, die bei jüngsten Erholungen zu beobachten sind, wo die typische Abrechnung zwischen 5 % und 15 % liegt. Die relativ günstigen Konditionen für den Angreifer spiegeln sowohl die technische Hebelwirkung wider, über die er verfügte, als auch die Dringlichkeit für Verus, die benutzerorientierte Liquidität schnell wiederherzustellen.

Quellen und externe Überprüfung

• CertiK-Warnung: Bestätigte die Rückgabe von 4.052,4 ETH über @CertiKAlert On-Chain-Überwachung.
• PeckShield: Unabhängige Bestätigung per @peckshield, mit On-Chain-Transaktionsreferenzen.
• CoinDesk: Die Mainstream-Berichterstattung bestätigte die Kopfgeldabrechnung und den Zeitplan.
• VerusCoin-Team: Öffentliche Bestätigung über die offiziellen Kommunikationskanäle des Projekts.
• Etherscan: Alle Abwicklungstransaktionen sind in der öffentlichen Ethereum-Blockchain sichtbar und anhand der Bridge-Vertragsadresse indiziert.

Marktauswirkungen und breiterer Kontext

Der Verus-Vorfall steht im Rahmen eines breiteren Musters für das Jahr 2026, in dem Bridge-Exploits weiterhin das Verlustbuch für Krypto-Sicherheitsvorfälle dominieren, selbst als die Tools zur Prüfung intelligenter Verträge ausgereift sind. Die kettenübergreifende Nachrichtenüberprüfung bleibt eines der größten Probleme in der Produktions-Krypto-Infrastruktur, und die meisten erfolgreichen Bridge-Angriffe nutzen entweder eine Unterzeichnerkompromittierung, Replay-Vektoren oder eine Edge-Case-Überprüfungslogik aus, die die statische Analyse überstanden hat, unter Live-Bedingungen jedoch fehlschlug.

Insbesondere für VerusCoin ist die teilweise Erholung positiv für die Benutzerstimmung, aber das Projekt sieht sich immer noch erheblichem operativen Gegenwind gegenüber. Der Bridge-Betrieb wurde während der Verhandlungsphase unterbrochen, wodurch der Benutzerfluss für jeden, der Vermögenswerte zwischen Verus und Ethereum verschiebt, unterbrochen wurde. Jede Neubereitstellung erfordert einen vollständigen Prüfzyklus und wahrscheinlich eine Migration auf einen neuen Bridge-Vertrag.

Risikoauswirkungen für Bridge-Benutzer

Konkrete Lehren, die Benutzer aus dem Verus-Vorfall ziehen können:

• Brückenkonzentrationsrisiko: Vermeiden Sie es, langfristige Vermögenswerte für längere Zeit in einem Überbrückungsvertrag zu parken. Das Belichtungsfenster ist das Haltefenster.
• Überwachen Sie die Reaktionsfähigkeit des Teams: Brücken, die von reaktionsfähigen Teams mit öffentlichen Kommunikationskanälen betrieben werden, erhalten häufiger Gelder zurück als solche, die von anonymen oder nicht reagierenden Teams betrieben werden.
• Diversifizierung der Brückennutzung: Durch die zeitliche Verteilung von Übertragungen auf mehrere Brücken wird die Gefährdung einzelner Verträge für aktive Benutzer verringert.
• Achten Sie auf Umschichtungsaudits: Kehren Sie nicht zu einer kompromittierten Brücke zurück, bis das Team ein unabhängiges Audit und eine eindeutige Obduktion zur Identifizierung der Grundursache veröffentlicht hat.

Wo Sie Verus und zugehörige Vermögenswerte verfolgen können

Für Benutzer, die noch über Verus-überbrückte Vermögenswerte verfügen oder die Wiederherstellung des Projekts überwachen, sind On-Chain-Paardaten und Marktanalysen über Standard-DeFi-Tools verfügbar. DEXTools bietet Live-Paarverfolgung und Sicherheitsscan für Token in Ethereum und anderen unterstützten Ketten. Die Beobachtung der Liquidität von verpackten oder überbrückten Verus-Paaren und der Inhaberverteilung ist ein führender Indikator dafür, wie schnell das Vertrauen in das Projekt zurückkehrt.

Die Bridge-Vertragsadresse bleibt weiterhin sichtbar Etherscan, wo Benutzer den vollständigen Verlauf der Exploit- und Wiederherstellungstransaktionen unabhängig überprüfen können.

Wie das in das Bridge-Exploit-Muster 2026 passt

Der Verus-Vorfall ist der jüngste Eintrag in einem Jahr, in dem Bridge-Exploits weiterhin eine dominierende Kategorie von Krypto-Verlustereignissen bleiben, auch wenn Audits, formale Verifizierung und Laufzeitüberwachung ausgereift sind. Das wiederkehrende Muster bei diesen Vorfällen ist, dass es sich bei der Fehlerklasse selten um eine neue Entdeckung handelt; Es handelt sich fast immer um ein bekanntes Anti-Pattern, das die Prüfung überstanden hat, entweder weil der Prüfumfang den spezifischen Pfad nicht abdeckte oder weil die Produktionsbedingungen von der geprüften Spezifikation abwichen.

Was die erfolgreichen Sanierungen von den Totalverlusten im Jahr 2026 unterscheidet, ist nicht die Prüfungsqualität an sich. Es ist die Geschwindigkeit und Glaubwürdigkeit der Reaktion des Teams nach einem Vorfall. Die Entscheidung des Verus-Teams, öffentlich zu verhandeln und einen sinnvollen Kopfgeldschnitt zu akzeptieren, führte in etwa einer Woche zu einer teilweisen Erholung. Teams, die versucht haben, sich durch stille Gegenmaßnahmen in der Kette, rechtliche Drohungen oder Ablehnung zu erholen, haben durchweg schlechter abgeschnitten und am Ende sowohl niedrigere Wiederherstellungsraten als auch dauerhafte Reputationsschäden erlitten.

Für Benutzer, die künftig das Brückenrisiko bewerten, ist das Betriebssignal mindestens genauso wichtig wie das Prüfzertifikat. Teams mit öffentlichen Kommunikationskanälen, Multi-Sig-Governance, transparenter Verwahrung und bewährten Playbooks zur Reaktion auf Vorfälle sind systematisch einem geringeren Risiko ausgesetzt als Teams, die eine einzige Startankündigung veröffentlichen und dann schweigen.

Was der Vergleich mit Verus nicht löst

Eine Wiederherstellung von 75 % ist im Vergleich zu historischen Normen ein gutes Ergebnis, stellt das System jedoch nicht in den Zustand vor dem Exploit zurück. Die verbleibenden ca. 2,9 Millionen US-Dollar verbleiben beim Angreifer als dauerhafter Verlust für das Protokoll oder seine Benutzer, je nachdem, wie das Team beschließt, die Auswirkungen zu sozialisieren. Der Überbrückungsvertrag selbst bleibt in der öffentlichen Meinung unabhängig von einer künftigen Prüfung gefährdet, was bedeutet, dass eine Umverteilung unter einer neuen Adresse faktisch obligatorisch ist.

Die längerfristige Frage für Verus ist, ob die Benutzerbasis der Bridge wieder in großem Umfang zur Verfügung steht, sobald eine erneute Bereitstellung erfolgt. Erfahrungsgemäß kommt es bei Brücken, die unter Exploits leiden und wiederaufgebaut werden, häufig zu dauerhaften Durchsatzeinbußen, selbst nach der Auslieferung technischer Reparaturen. Benutzer verfügen über ein Gedächtnis, und konkurrierende Brücken mit saubereren Historien erfassen oft den marginalen Fluss, der zur wiederhergestellten Brücke geflossen wäre.

Häufig gestellte Fragen

Wie viel wurde von der Verus-Brücke gestohlen?

Ungefähr 11,4 Millionen US-Dollar an ETH und überbrückten Vermögenswerten wurden am 18. Mai 2026 aus dem Verus-Ethereum-Brückenvertrag abgezogen.

Wie viel wurde vom Ausbeuter zurückgegeben?

Der Angreifer gab 4.052,4 ETH im Wert von etwa 8,5 Millionen US-Dollar zurück, was etwa 75 % des ursprünglich gestohlenen Wertes entspricht. Die restlichen ca. 2,9 Millionen US-Dollar wurden als ausgehandelte Prämie einbehalten.

Wie lautet die Adresse des kompromittierten Vertrags?

Die Adresse des Verus-Ethereum-Bridge-Vertrags lautet 0x71518580f36feceffe0721f06ba4703218cd7f63 im Ethereum-Mainnet.

Wer hat die Wiederherstellung bestätigt?

Die Rückgabe wurde unabhängig von CertiK, PeckShield und durch CoinDesk-Berichte bestätigt, wobei alle Abwicklungstransaktionen auf Etherscan sichtbar waren.

Ist die Verwendung der Verus-Brücke jetzt sicher?

Der Brückenvertrag sollte als kompromittiert betrachtet werden, bis das VerusCoin-Team eine vollständige Obduktion veröffentlicht, einen neuen geprüften Brückenvertrag bereitstellt und bestätigt, dass der Betrieb im Rahmen der neuen Bereitstellung wieder aufgenommen wurde. Benutzer sollten nicht mit dem Originalvertrag interagieren.