Verus міжланцюговий міст для Ethereum зазнав атаки, а в травні збитки DeFi перевищили 20 млн доларів

Компанія з безпеки блокчейну Blockaid 18 травня відстежила атаку на кросчейн-мості Verus–Ethereum і попередила про це в X; PeckShield підтвердила, що внаслідок атаки було завдано збитків на суму близько 11,58 млн доларів. За даними DeFiLlama, у травні 12 DeFi-протоколів зазнали атак, а сумарні втрати за травень уже перевищили 20 млн доларів.

Уточнені деталі атак: викрадені активи та ончейн-трейсинг

(Джерело: Etherscan)

Розбивка викрадених активів, оприлюднена PeckShield:

· 103,6 tBTC

· 1 625 ETH

· 147 000 USDC

Згодом викрадені активи були конвертовані в 5 402,4 ETH (приблизно 11,4 млн доларів), і наразі вони все ще зберігаються в гаманці атакувальника: 0x65Cb8b128Bf6e690761044CCECA422bb239C25F9.

Джерело коштів (підтверджено): за приблизно 14 годин до атаки атакувальник поповнив 1 ETH через сервіс міксингу Tornado Cash як стартовий капітал, щоб приховати походження коштів.

Передумови DeFi-інциденту безпеки: спалах у травні та річні дані

15 травня 2026 року (3 дні тому): THORChain скарбницю було зламано, з неї викрали понад 10 млн доларів коштів протоколу; THORChain заявив, що баланси акаунтів користувачів не постраждали, розслідування триває

Травень 2026 року (до Verus): DeFiLlama підтвердив, що вже 12 DeFi-протоколів зазнали атак, а сумарні втрати за травень перевищили 20 млн доларів

Квітень 2026 року: 12 інцидентів безпеки спричинили втрати понад 606 млн доларів, при цьому уразливість у мосту KelpDAO спричинила разовий збиток у розмірі 292 млн доларів — найбільша одиночна атака з початку 2026 року

Поширені запитання

Чому атакувальник поповнив початковий ETH через Tornado Cash?

Tornado Cash — сервіс міксингу на Ethereum на основі доказів із нульовим розголошенням. Він відтинає ончейн-джерело коштів, що ускладнює відстеження особи атакувальника. Поповнення невеликої кількості ETH (1 монета) є типово поширеним кроком підготовки перед атакою на кросчейн-мости: це використовується для оплати майбутніх операційних витрат на Gas, а також для маскування походження коштів.

Чи вже переміщені викрадені 5 402,4 ETH?

За повідомленнями, викрадені активи досі зберігаються в гаманці атакувальника 0x65Cb8b128Bf6e690761044CCECA422bb239C25F9 і не були переказані. На момент публікації проект Verus не оприлюднив офіційної заяви; чи вдасться повернути кошти, залежить від подальшого ончейн-трейсингу та можливого втручання правоохоронних органів.

Який стан безпеки DeFi у травні порівняно з квітнем?

Станом на момент інциденту Verus у травні сумарні втрати вже перевищили 20 млн доларів (12 випадків). Натомість у квітні загальні втрати за 12 інцидентів становили 606 млн доларів (включно з 292 млн доларів від KelpDAO): масштаб квітня суттєво вищий за рівень травня на цей момент, але ланцюгова атакувальна активність у травні досі триває.