Paga un céntimo, recibe un millón: una vulnerabilidad en el puente Verus–Ethereum le entregó al hacker 7,5 millones de dólares.

Un hacker volvió a saquear el puente Verus Ethereum, aprovechando una vulnerabilidad que, al parecer, no se corrigió después de que ya se explotara en mayo. Esta vez el atacante retiró criptoactivos por aproximadamente $7,54 millones.

Los puentes entre cadenas permiten bloquear activos en una cadena de bloques y emitir una cantidad equivalente de tokens en otra. En el caso de Verus Ethereum, el contrato no verificaba si la suma que se pagaba en Ethereum correspondía al valor de los activos bloqueados en la red Verus. Gracias al error, el atacante pudo realizar una operación por una suma insignificante y luego obtener tokens por millones de dólares.

Según los datos de la empresa Blockaid, el hacker activó el mecanismo de importación y obligó al puente a pagar fondos que no estaban respaldados por reservas en Verus. El atacante robó ETH, tBTC, USDC, USDT, EURC, MKR y scrvUSD. El daño total fue de alrededor de $7,54 millones.

Los especialistas relacionaron lo ocurrido con el ataque de mayo de 2026, cuando a través del mismo contrato se retiraron alrededor de $11,58 millones. En ambos casos los atacantes usaron la misma ruta de importación. La similitud indica que los desarrolladores o no corrigieron por completo la vulnerabilidad, o no arreglaron el contrato en funcionamiento.

Las empresas Halborn y Merkle Science determinaron previamente que los mecanismos criptográficos del puente, las firmas digitales y las pruebas de Merkle funcionaban con normalidad. El error estaba en la lógica que debía verificar la suma. Contrato confirmaba la autenticidad de la operación, pero no comparaba el valor de los activos en la red de origen y la de destino.

Merkle Science estimó que en el código faltaban aproximadamente diez líneas que comprobaran los datos en Solidity. Durante el ataque de mayo el atacante gastó alrededor de $10 en comisiones en VRSC y obtuvo activos por $11,58 millones. Halborn señaló que incluso una operación de aproximadamente un centavo podría pasar todas las comprobaciones y desencadenar un pago de millones de dólares.

Errores similares se usaron anteriormente en grandes ataques contra los puentes Wormhole y Nomad en 2022. En todos los casos el problema no se debía a la ruptura de la criptografía, sino a que no se verificaba la correspondencia entre la suma depositada y la cantidad emitida.

El equipo de Verus aún no ha analizado en detalle el nuevo ataque. Tras el incidente de mayo, Merkle Science recomendó no usar el puente hasta que los desarrolladores corrijan la verificación y confirmen el resultado con una auditoría de seguridad independiente.