約2カ月前に流出したブリッジで再び被害
レイヤー1ブロックチェーン「ヴェルス（Verus）」とイーサリアム（Ethereum）を接続するヴェルス公式ブリッジ「ヴェルス・イーサリアムブリッジ（Verus-Ethereum Bridge）」で、約754万ドル（約12.3億円）相当の資産が流出するエクスプロイト（脆弱性を悪用した攻撃）が発生した。オンチェーンセキュリティ企業ブロックエイド（Blockaid）が7月23日に報告した。
ヴェルスは、2018年に立ち上げられたレイヤー1ブロックチェーンだ。同チェーンは、プライバシー機能や複数のブロックチェーン間で資産を移転するクロスチェーン機能を備えたブロックチェーン基盤として開発されている。今回攻撃を受けたブリッジは、ヴェルスとイーサリアム間で資産を移転・変換するために利用されている。
今回攻撃を受けたブリッジでは、今年5月にも約1,158万ドル（約18.4億円）相当の資産が流出しており、約2カ月で再び被害が発生した。ブロックエイドによると、今回の攻撃は前回と同じブリッジコントラクト、同じインポート経路、同じ種類の脆弱性に関係するものとみられる。一方、攻撃に用いられたアドレスと流出資産の受取ウォレットは前回とは異なるという。
ブロックエイドは、今回の攻撃で、攻撃者が本来受け取ることのできない資産をブリッジから不正に引き出したと説明している。具体的には、攻撃者がブリッジのインポート経路を悪用したことで、送信元チェーン上の対応する資産に裏付けられていないにもかかわらず、イーサリアム側で資産の払い出しが実行されたとのことだ。これにより、ETH、tBTC、USDC、USDT、EURC、MKR、scrvUSDが流出した。
一方、セキュリティリサーチャーのサンセック（SunSec）は、送信元と送信先で資産額が一致しているかを十分に確認していなかった点が、今回の問題につながったとの見方を示している。具体的には、ブリッジは署名などの暗号学的検証によって、「対象のインポートが正規に承認されたものか」を確認していた。一方で、「実際にロックされた資産額と同額を払い出しているか」という確認は十分ではなかったとのことだ。その結果、攻撃者は暗号学的検証を通過するよう細工したインポートを悪用し、本来受け取ることのできない資産を引き出せた可能性があるとサンセックは分析している。
サンセックは今回の攻撃について、暗号技術そのものが破られたのではなく、払い出しの経済的な裏付けを確認する「資産管理ロジック」の不備が悪用されたとの見方を示している。
また、オンチェーン分析企業ルックオンチェーン（Lookonchain）は、攻撃者が盗んだ資産を約3,916ETHへ交換した後、送金経路を分かりにくくする暗号資産（仮想通貨）の匿名化プロトコル「トルネードキャッシュ（Tornado Cash）」へ送金したと報告した。オンチェーン分析プラットフォーム「アーカム（Arkham）」でも、攻撃者のウォレットからトルネードキャッシュへの送金が確認できる。
🚨 Blockaid detected a @VerusCoin Ethereum Bridge exploit on Ethereum.
— Blockaid (@blockaid_) July 23, 2026
An attacker used the bridge import path to trigger unbacked Ethereum-side payouts, draining ~$7.54M in ETH, tBTC, USDC, USDT, EURC, MKR, and scrvUSD from bridge reserves.
More details in 🧵
🚨 The Verus–Ethereum Bridge has been exploited again.
— SunSec (@1nf0s3cpt) July 23, 2026
Same contract. Same vulnerability. Same attack method.
• May 17: ~$11.6M stolen
• July 23: ~$7.5M stolen
The same root cause remained exploitable for 66 days, bringing the combined loss to approximately $19.1M.
How did… pic.twitter.com/g5RehUa10S
It appears the @VerusCoin Ethereum bridge was exploited for $7.55M.
— Lookonchain (@lookonchain) July 23, 2026
The exploiter swapped all the stolen funds for 3,916 $ETH($7.52M) and deposited them into #TornadoCash for laundering.https://t.co/0pDRwyuo1B pic.twitter.com/W6CEQBPmMi
参考：アーカム
画像：PIXTA