Akin sa AFX Trade, isang decentralized na perpetuals exchange na nagsettle sa dollar-pegged na stablecoin na USDC, ay nasiraan ng halos $24.15 milyon noong Miyerkules pagkatapos makompromiso ng isang attacker ang validator signing keys sa likod ng isang bridge na ginagamit ng protocol sa Arbitrum, blockchain data ay ipinakikita.
Sinabi ni Steven Goldfeder, co-founder ng Offchain Labs, na nagpapaunlad at nagpapanatili ng network, na ang Arbitrum native bridge "ay hindi na-hack o na-exploit sa anumang paraan" at na ang transaksyon ay nagmula sa isang third-party protocol.
Ang isang paglabag sa sariling tulay ng Arbitrum ay magpapakita ng panganib sa buong layer-2 network, ngunit ang isang napapag-isa na protokolo na tumatakbo sa itaas nito ay isang limitadong pagkabigo.
Hindi nasira ang anumang bahagi ng sariling code logic ng tulay. Ang mga tulay ay isang blockchain-based na kasangkapan upang mag-transfer ng mga token sa iba’t ibang network, kabilang ang mga network na hindi sinuportahan nang unang panahon.
Sinabi ng security firm na Blockaid na hindi na-bypass ang on-chain logic. Sa halip, lima sa mga hot-validator signature ng bridge, ang mga pagpapahintulot na nagpapahintulot sa withdrawal, ay nag-approve sa paglipat ng 24,150,000 USDC sa wallet ng attacker, na nagpapalabas ng halos dalawang-katlo ng quorum na kailangan ng bridge.
Nakita ng Blockaid ang isang exploit noong 2026-07-22 21:30 UTC na naglalayon sa @AFX_XYZ, isang protocol sa @arbitrum. Ang exploit ay espesipiko sa isang bridge na pinapatakbo ng AFX. Ang halagang 24.15M USDC ay nakuha na hanggang sa kasalukuyan mula sa protocol.
Nagtrabaho ang aming team kasama ang mga kahanga-hanga na tao sa… https://t.co/0Qd9ve5gPB
Nilikha ng kontrata ang withdrawal bilang wasto at inilabas ang mga pondo pagkatapos ng 200-segundong panahon ng pagtutol. Gawa nang tama ang bridge, ngunit ang mga susi na nagpapahintulot ay tila nasa maling kamay.
Pagkatapos ay isinagawa ng attacker ang pag-bridge ng pinakuha na USDC sa Ethereum at isinwap ito para sa halos 12,467 ETH, na may halagang humigit-kumulang sa $24 milyon, na ayon sa mga on-chain tracker ay nasa isang wallet lamang.
Ang pagtugon ng AFX ay umabot sa mataas na antas sa pagbaba ng pag-atake, na may daily perpetuals volume na tumalon sa mga mataas na antas sa maraming buwan noong mid-July, ayon sa DefiLlama, habang ang protocol ay nakakakuha ng mga user at kasama na ang mga pag-deposit.
Ang halos $24 milyong tinanggap ay halos buong kabuuang halaga ng nakaputol sa protokolo, na nangangahulugan na ang attacker ay nagbawas ng vault sa malapit sa sandaling ito ay pinakamataas.
Nakakatanggap ang pagkawala sa isang mahirap na panahon para sa seguridad ng cryptocurrency, kung saan ang Q2 ay isa sa mga pinakamasamang kuartal para sa mga hack sa kasaysayan at isang serye ng mga protocol batay sa Arbitrum, kabilang ang oracle exploit na ay nagbawas ng hiwalay na $18 milyon mula sa RWA platform na Ostium isang linggo bago, na tinamaan nang mabilisan.
Kaya ang insidente ay isang katulad na pagkabigo sa mga pagkawala ng halos $285 milyon sa Drift Protocol noong Abril, kung saan ang mga manggagawa ay nagtrabaho ng ilang buwan upang makamit ang privileged access kaysa mag-break ng anumang contract.