PeckShield ได้ตรวจสอบและยืนยันเมื่อวันที่ 22 พฤษภาคมว่า ผู้โจมตีการโจมตีผ่านบริดจ์ข้ามเชน Verus-บน Ethereum ได้นำ 4,052.4 ETH กลับคืนมายังที่อยู่ทางการของ Verus แล้ว (ประมาณ 8.5 ล้านดอลลาร์) คิดเป็น 75% ของจำนวนรวมทั้งหมด 5,402.4 ETH ของสินทรัพย์ที่ถูกขโมย หลังจากนั้น 1,350 ETH ที่เหลือ (ประมาณ 2.85 ล้านดอลลาร์, 25%) ได้ถูกเก็บไว้เป็นเงินรางวัลสำหรับช่องโหว่ในกระเป๋าเงินของผู้โจมตี
กลไกการโจมตี：ช่องโหว่การตรวจสอบอินพุตถูกใช้แบบต้นทุนต่ำเพื่อขโมยมูลค่าระดับหลายสิบล้านได้อย่างไร
การยืนยันจากทางการ Verus และการวิเคราะห์บนเชนชี้ว่า การโจมตีครั้งนี้ไม่ได้เกิดจากการรั่วไหลของคีย์ส่วนตัวหรือการปลอมลายเซ็น แต่เป็นการใช้ประโยชน์จากช่องโหว่เชิงโครงสร้างใน “ช่องโหว่การตรวจสอบอินพุต” ของสัญญาสะพานเชื่อม：ผู้โจมตีได้เริ่มธุรกรรมจริงที่มีมูลค่าต่ำมากบนเครือข่าย Verus (ประมาณ 0.01 ดอลลาร์ของ VRSC) แต่ใน Payload ของการโอนข้ามเชน (ข้อมูลที่แนบมา) ได้แทรกจำนวนโทเค็นที่สูงกว่าจำนวนเงินที่ถูกล็อกตามความเป็นจริงอย่างมาก จากนั้นสัญญาบริดจ์ในขั้นตอนการตรวจสอบกลับไม่สามารถยืนยันว่า “จำนวนเงินที่ประกาศไว้ใน Payload” ตรงกับ “จำนวนเงินที่ล็อกจริงบนเชนต้นทาง” หรือไม่ จึงถูกหลอกให้ปล่อยเงินสำรองของบริดจ์ออกมาในจำนวนที่มากกว่าที่โอนเข้ามาในทางปฏิบัติอย่างมาก หลังเหตุการณ์เกิดขึ้น เครือข่าย Verus ได้หยุดชั่วคราว และโหนดการผลิตบล็อกส่วนใหญ่ได้ลงจากระบบโดยสมัครใจเพื่อป้องกันความเสียหายเพิ่มเติม
เงื่อนไขที่ยืนยันแล้วของการเจรจารางวัลบนเชนและขอบเขตการปฏิเสธความรับผิด
Verus ได้ยืนยันในข้อเสนอบนเชนวันที่ 21 พฤษภาคมถึงเงื่อนไขต่อไปนี้ ซึ่งได้รับการบันทึกไว้เป็นหลักฐานอย่างเป็นทางการบนเชน Ethereum：
ข้อกำหนดการคืนเงิน：ต้องคืน 4,052.4 ETH ภายในกำหนดเวลา 24 ชั่วโมงไปยังที่อยู่ที่กำหนด
การยอมรับรางวัล：หลังจากคืนเงินเสร็จสิ้น Verus จะรับรองอย่างเป็นทางการว่า 1,350 ETH ที่ถูกระงับไว้เป็น “เงินรางวัลจากช่องโหว่” ที่ชอบด้วยกฎหมาย
คำมั่นว่าจะสอบสวน：Verus จะพยายามอย่างเต็มที่เพื่อยุติการสอบสวนที่มีอยู่ และหลีกเลี่ยงการเริ่มสอบสวนใหม่
คำมั่นทางกฎหมาย：Verus จะหลีกเลี่ยงการยื่นฟ้องร้อง
คำประกาศสาธารณะ：Verus จะเปิดเผยการยอมรับว่าเงินที่ถูกระงับมีลักษณะเป็นรางวัล
ขอบเขตสำคัญ：คำมั่นข้างต้นไม่ผูกมัดหน่วยงานบังคับใช้กฎหมาย กระดานเทรด ผู้ให้บริการโครงสร้างพื้นฐาน หรือบุคคลที่สามอื่นใด—ข้อตกลงนี้สะท้อนเพียงจุดยืนของทางการ Verus เท่านั้น
คำถามที่พบบ่อย
ความหมายเชิงเทคนิคของช่องโหว่การตรวจสอบอินพุตในบริดจ์ข้ามเชนของ Verus คืออะไร？
ช่องโหว่การตรวจสอบอินพุต (Validation Gap) หมายถึง ในขณะที่สัญญาบริดจ์ประมวลผลคำขอโอนข้ามเชน สัญญาจะไม่ทำการเปรียบเทียบและยืนยันจำนวนเงินโทเค็นที่ประกาศไว้ใน Payload กับจำนวนเงินโทเค็นที่ล็อกจริงบนเชนต้นทาง สิ่งนี้ทำให้ผู้โจมตีสามารถเริ่มต้นด้วยธุรกรรมที่ถูกต้องตามกฎหมายซึ่งมีมูลค่าต่ำมากบนเชนต้นทาง (ประมาณ 0.01 ดอลลาร์) พร้อมทั้งประกาศจำนวนใน Payload ที่สูงกว่าความเป็นจริงอย่างมาก จากนั้นสัญญาบริดจ์บนเชนปลายทางกลับเชื่อค่าตัวเลขใน Payload และปล่อยเงินสำรองออกมาในจำนวนที่มากกว่าความเป็นจริงอย่างมาก ช่องโหว่ลักษณะนี้เป็น “ข้อบกพร่องด้านตรรกะของสัญญาอัจฉริยะ” และจัดอยู่ในรูปแบบการโจมตีบริดจ์ประเภทเดียวกับ “ช่องโหว่การตรวจสอบข้อความแบบลองใหม่ (重試訊息驗證缺口)” ของ Map Protocol Butter Bridge V3.1
สัดส่วนรางวัล 25% ในการเจรจาคืนเงินจากการโจมตีบริดจ์ DeFi ถือเป็นข้อตกลงที่พบได้ทั่วไปหรือไม่？
สัดส่วนรางวัล 25% ถือว่าสูงในกรณีโครงการด้านรางวัลจากช่องโหว่แบบดั้งเดิม แต่ในบริบทของการเจรจาตามคืนเงินจากการโจมตีบริดจ์ที่เงินถูกผสานแล้วและยากต่อการทำให้หยุดเคลื่อนไหวนั้น ไม่ใช่เรื่องที่ไม่พบ ในสถานการณ์เช่นนี้ โดยปกติทีมงานจะใช้รางวัลเป็นแรงจูงใจเพื่อให้ผู้โจมตียอมคืนเงินโดยสมัครใจ เพื่อหลีกเลี่ยงไม่ให้เงินหายไปโดยสิ้นเชิงผ่านการผสมมิกเซอร์หรือเครื่องมือด้านความเป็นส่วนตัว เหตุการณ์ Renegade dark pool ก่อนหน้านี้ก็ใช้รูปแบบการเจรจาบนเชนที่คล้ายกัน โดยยอมให้ผู้โจมตีเก็บสินทรัพย์บางส่วนไว้เป็นค่าตอบแทน และทำให้การตามคืนเงินส่วนใหญ่สำเร็จได้
คำมั่นสัญญาของ Verus สามารถปกป้องผู้โจมตีจากการถูกดำเนินคดีทางกฎหมายได้อย่างมีประสิทธิภาพหรือไม่？
ในสัญญา Verus ได้ระบุชัดเจนว่า คำมั่นของตน (หยุดการสอบสวน ไม่ยื่นฟ้อง) จะผูกมัดเฉพาะตัวโครงการ Verus เองเท่านั้น ไม่สามารถผูกมัดหน่วยงานบังคับใช้กฎหมาย กระดานเทรด ระบบ KYC ของแลกเปลี่ยน หรือบริษัทวิเคราะห์บนเชนอื่น ๆ ได้ นั่นหมายความว่า หากหลังจากผู้โจมตีคืนเงินแล้ว การกระทำบนเชนของเขายังถูกติดตามได้โดยหน่วยงานบังคับใช้กฎหมาย กระดานเทรด หรือบริษัทวิเคราะห์บนเชน คำมั่นสัญญาของ Verus จะไม่สามารถใช้เป็นหลักฐานยกเว้นความรับผิดได้ ก่อนจะรับข้อตกลงรางวัล ผู้โจมตียังได้ทำการผสมมิกเซอร์เงินทุนตั้งต้นด้วย Tornado Cash ไปแล้วในช่วงเวลาก่อน 14 ชั่วโมง ซึ่งอาจทำให้การติดตามเพื่อการบังคับใช้กฎหมายในขั้นต่อไปยิ่งยากขึ้นด้วยเช่นกัน
