Verus Bridge Diretas Lagi, Sekitar US$7,5 Juta Raib dalam Peretasan Berulang

Verus Bridge kembali menjadi sasaran peretas. Pada Kamis, penyerang menguras sekitar US$7,54 juta dari bridge Ethereum milik Verus, hanya sekitar dua bulan setelah insiden Mei yang mengakibatkan kerugian US$11,58 juta pada kontrak yang sama. Firma keamanan Blockaid menyebut aksi terbaru ini memanfaatkan celah yang serupa: jalur "import" pada bridge dapat memicu pembayaran di sisi Ethereum tanpa memastikan nilai yang setara benar-benar telah dikunci atau dikomit di blockchain Verus. Kontrak tetap menerima tanda tangan dan bukti Merkle yang valid, tetapi tidak melakukan pemeriksaan apakah jumlah yang dilepas sesuai dengan nilai yang dikirim dari sumber. Blockaid menyatakan aset yang terdampak mencakup ETH, tBTC, USDC, USDT, EURC, MKR, dan scrvUSD. Sejumlah analis menilai masalahnya bukan pada kriptografi yang ditembus, melainkan pada validasi nilai yang hilang di dalam kontrak. Setelah peretasan Mei, Halborn dan Merkle Science menyimpulkan akar persoalan terkait fungsi checkCCEValues dan sekitar 10 baris validasi Solidity yang tidak ada, meski sistem terlihat berjalan normal. Ketiadaan pemeriksaan ini menciptakan ketimpangan biaya dan imbal hasil yang ekstrem. Merkle Science menyebut penyerang pada insiden sebelumnya berpotensi mengubah sekitar US$10 biaya transaksi VRSC menjadi payout senilai US$11,58 juta. Halborn juga menyoroti bahwa transaksi bernilai hampir 1 sen dapat memenuhi persyaratan tanda tangan dan bukti, lalu memicu pelepasan aset bernilai jutaan dolar di Ethereum. Laporan terbaru menyebut serangan Kamis menargetkan kontrak dan jalur import yang sama, meski menggunakan transaksi berbeda, dompet penyerang berbeda, serta tujuan dana curian yang berbeda. Peristiwa ini terjadi di tengah tren peningkatan keamanan bridge di DeFi. Data Immunefi yang dikutip dalam laporan menunjukkan peretasan bridge menyumbang 73% dari total kerugian DeFi pada 2022, tetapi turun menjadi 3% pada 2025. Meski demikian, perbaikan sektor tidak membantu ketika kerentanan yang sudah teridentifikasi dibiarkan tanpa penanganan tuntas. Hingga kini, Verus belum merilis postmortem resmi untuk insiden Kamis. Setelah kasus Mei, Merkle Science menyarankan pengguna menghindari bridge tersebut sampai validasi yang bermasalah diperbaiki dan hasil audit independen dipublikasikan. Tanpa konfirmasi perbaikan, sikap paling aman bagi pengguna dan penyedia likuiditas adalah tetap menjauh dari Verus Bridge.