AFX Trade, une plateforme d'échange décentralisée fonctionnant sur Arbitrum, vient de perdre 24,15 millions de dollars en USDC à la suite d'une attaque sur son pont. Elle négocie désormais avec la personne qui l'a volée, lui offrant environ 7,2 millions de dollars pour lui restituer le reste.
L'offre de récompense pour white-hat, proposée publiquement par Ken C, responsable de la croissance chez AFX, permettrait à l'attaquant de conserver 30 % des fonds volés en tant que « récompense » en échange du retour des 70 % restants.
Qu'est-ce qui s'est réellement passé
L'exploitation a eu lieu le 22 juillet 2026, ciblant la passerelle de custody d'AFX Trade plutôt que ses contrats intelligents ou l'infrastructure sous-jacente d'Arbitrum. L'attaquant a compromis les clés de signature des validateurs hors chaîne.
Une fois à l'intérieur, l'attaquant a vidé environ 24,15 millions de dollars en USDC du pont. Il a ensuite transféré les fonds vers Ethereum et les a échangés contre environ 12 467 ETH, qui étaient alors échangés à environ 1 937 dollars par token. AFX a suspendu immédiatement son pont après avoir découvert la violation.
Les sociétés de sécurité Blockaid et PeckShield ont toutes deux confirmé l'attaque et souligné rapidement que la passerelle native d'Arbitrum n'a pas été affectée du tout.
Une partie d'un problème bien plus vaste
AFX n’a pas été la seule victime cette semaine-là. L’exploitation faisait partie d’une vague concentrée d’attaques les 22 et 23 juillet, qui ont entraîné collectivement des pertes dépassant 35 millions de dollars sur plusieurs plateformes. En élargissant le cadre, juillet 2026 a vu près de 97 millions de dollars de pertes liées à des piratages, selon les données de Blockaid et PeckShield.
L'exploitation de AFX est particulièrement instructive car elle n'a pas impliqué de faille dans un contrat intelligent. Les contrats ont fonctionné exactement comme conçus. La faiblesse résidait dans la gestion des clés hors chaîne du validateur. Les audits de contrats intelligents ne couvrent qu'une couche de sécurité. La sécurité opérationnelle de la gestion des clés, de la sélection des validateurs et de l'architecture des ponts reçoit souvent bien moins d'attention de la part des utilisateurs, bien qu'elle représente une surface d'attaque considérable.