- Ataque desviou 1.137 ETH e stablecoins da ponte Verus-Ethereum em 23 de julho
- Blockaid aponta mesma falha do exploit de maio, que causou prejuízo de US$ 11,58 milhões
- Total perdido pela ponte em dois ataques ultrapassa US$ 19 milhões em 2026
A ponte Verus-Ethereum foi drenada pela segunda vez em menos de três meses. O ataque desta quinta-feira (23) retirou cerca de US$ 7,54 milhões em criptomoedas do contrato e usou exatamente o mesmo vetor explorado em maio, quando hackers levaram US$ 11,58 milhões. A repetição escancara uma falha estrutural não corrigida no mecanismo de ethereum bridge da rede.
Os dados on-chain mostram que a operação foi executada às 03h45 UTC. Em uma única sequência de transações, o atacante transferiu 1.137 ETH para uma carteira sob seu controle, além de tBTC, USDC, USDT, EURC, MKR e scrvUSD. Assim, o Etherscan avaliou as saídas principais no montante equivalente ao roubado, e o endereço do invasor segue sob monitoramento de firmas de segurança.
Blockaid detecta mesmo vetor de maio
Assim, a empresa de segurança Blockaid, que detectou o incidente, afirmou em publicação no X que o invasor manipulou o processo de importação da ponte para liberar fundos sem depositar ativos equivalentes na cadeia de origem. Em termos práticos: a Verus emitiu tokens no Ethereum sem que houvesse lastro depositado do outro lado.
De acordo com a Blockaid, embora o atacante tenha usado carteira e transações diferentes das de maio, o contrato-alvo, o ponto de entrada e a categoria provável do bug são os mesmos do episódio anterior. A leitura é dura para os desenvolvedores da Verus: o patch aplicado após o primeiro ataque não fechou a superfície de exposição, apenas cobriu sintomas.
O padrão se repete em 2026. Pontes cross-chain seguem como o elo mais frágil do ecossistema DeFi, concentrando boa parte das perdas do setor. O trimestre passado registrou explosão nesse tipo de ataque, como mostra o levantamento sobre os US$ 763 milhões desviados por hackers de cripto entre abril e junho.
Por que pontes continuam sendo alvo fácil
A lógica é simples e cruel. Toda ponte precisa custodiar ativos em uma cadeia e emitir representações sintéticas em outra. Se o contrato que emite os tokens sintéticos aceita provas fraudulentas de depósito — como parece ser o caso da Verus —, o atacante imprime dinheiro do nada e resgata em qualquer ativo líquido disponível no cofre.
Esse não é um problema isolado da Verus. Em outubro, sete corretoras precisaram bloquear US$ 9 milhões em tokens NIGHT após um exploit em uma ponte da Wanchain entre Cardano e BNB Chain. Assim, o padrão de ataque foi similar: falha na validação de mensagens entre cadeias, com emissão indevida no destino.
Verus acumula US$ 19 milhões em prejuízo no ano
Somando os dois ataques, a ponte Verus-Ethereum registra prejuízo superior a US$ 19 milhões em 2026 — cifra que, na cotação de hoje, equivale a mais de R$ 96,5 milhões. Além disso, o valor supera a capitalização de mercado de vários projetos de médio porte e coloca em xeque a viabilidade operacional da bridge.
Até o momento, a equipe da Verus não publicou um post-mortem detalhado do novo incidente nem anunciou compensação aos usuários afetados. Também não há informação sobre pausar o contrato para conter novas emissões. Assim, o silêncio contrasta com o padrão adotado por projetos maiores em situações semelhantes, que costumam congelar os contratos afetados nas primeiras horas após a detecção.
Assim, analistas on-chain rastreiam agora o destino dos 1.137 ETH desviados. Parte dos ativos já teria sido convertida em stablecoins, movimento típico de tentativa de lavagem antes de passagem por mixers ou pontes reversas.
