Verus 橋接攻擊者返還 75% 被盜資金，1350 枚作為賞金保留

PeckShield 於 5 月 22 日監測確認，Verus-以太坊跨鏈橋攻擊者已向 Verus 官方地址返還 4,052.4 枚 ETH（約 850 萬美元），佔被盜資產合並後總量 5,402.4 枚 ETH 的 75%；剩餘 1,350 枚 ETH（約 285 萬美元，25%）作為漏洞賞金保留在攻擊者錢包中。

攻擊機制：輸入驗證缺口如何以低成本操作竊取千萬資產

Verus 官方和鏈上分析確認，此次攻擊並非私鑰洩露或簽名偽造，而是針對橋接合約「輸入驗證缺口」的結構性漏洞利用：攻擊者在 Verus 鏈上發起一筆真實的低價值交易（約 0.01 美元的 VRSC），但在跨鏈轉帳的 Payload（有效載荷）中注入了遠高於實際鎖定金額的代幣數量，而橋接合約在驗證環節未能核實 Payload 中聲明的金額與源鏈上實際鎖定的金額是否一致，從而被欺騙，釋放了遠超實際轉入金額的橋接儲備資金。事件發生後，Verus 網絡臨時暫停，大多數出塊節點自願下線以防止進一步損失。

鏈上賞金談判的已確認條款與免責邊界

Verus 在 5 月 21 日的鏈上提案中確認了以下條款，這些條款已作為正式協議在以太坊鏈上公開記錄：

返還要求：4,052.4 枚 ETH 需在 24 小時截止期限前返還至指定地址

賞金承認：返還完成後，Verus 將扣留的 1,350 枚 ETH 正式認定為合法漏洞賞金

調查承諾：Verus 將盡最大努力停止現有調查，避免啟動新的調查

法律承諾：Verus 將避免提起訴訟

公開聲明：Verus 將公開承認扣留資金的賞金性質

重要邊界：上述承諾不約束法律執行機構、交易所、基礎設施提供者或其他第三方——此協議僅代表 Verus 官方的立場

常見問題

Verus 的跨鏈橋輸入驗證缺口的具體技術含義是什麼？

輸入驗證缺口（Validation Gap）指橋接合約在處理跨鏈轉帳請求時，未對轉帳 Payload 中聲明的代幣金額與源鏈上實際鎖定的代幣金額進行比對核實。這使攻擊者可以在源鏈發起一筆金額極低的合法交易（約 0.01 美元），同時在 Payload 中聲明遠高於實際值的金額，目標鏈的橋接合約誤信 Payload 中的數字，釋放出遠超實際值的儲備資金。這類漏洞屬於智能合約邏輯層面的設計缺陷，與 Map Protocol Butter Bridge V3.1 的「重試訊息驗證缺口」屬於同一類型的橋接攻擊模式。

25% 的賞金比例在 DeFi 橋接攻擊談判中是否屬常見安排？

25% 的賞金佔比在傳統漏洞賞金項目中屬於較高水平，但在資金已被合并且難以凍結的橋接攻擊追回談判中並不罕見。在此類情形下，項目方通常以賞金換取攻擊者自願返還，以避免資金通過混幣或隱私工具徹底消失。此前 Renegade 暗池事件也採用了類似的鏈上談判模式，通過允許攻擊者保留部分資產作為代價，完成了大部分資金的追回。

Verus 的協議承諾是否能有效保護攻擊者免受法律追究？

Verus 在協議中明確聲明，其承諾（停止調查、不提訴訟）僅約束 Verus 項目方本身，不能約束執法機關、交易所、區塊鏈基礎設施提供者或其他第三方。這意味著若攻擊者在返還資金後，其鏈上行為仍被執法機構、交易所 KYC 系統或鏈上分析公司追蹤到，Verus 的協議承諾不能作為免責依據。攻擊者在接受賞金安排之前，在 14 小時前使用 Tornado Cash 完成了初始資金的混幣，本身也可能增加後續執法追蹤的難度。