AFX ट्रेड ने ब्रिज की कुंजियों के दुरुपयोग के बाद $24 मिलियन का नुकसान उठाया

ओस्टियम ऑरेकल दुरुपयोग के बाद केवल एक सप्ताह बाद, उसी नेटवर्क पर एक और परपेचुअल्स DEX को खाली कर दिया गया। 22 जुलाई, 2026 को, AFX Trade ने प्रोटोकॉल द्वारा संचालित ब्रिज के पीछे की वैलिडेटर साइनिंग कुंजियों के दुरुपयोग के बाद लगभग $24.15 मिलियन USDC खो दिए। चोरी की गई राशि को ईथेरियम पर स्थानांतरित कर दिया गया और लगभग 12,467 ETH के लिए स्वैप कर दिया गया—जिससे प्लेटफॉर्म की कुल बंधी हुई राशि लगभग खत्म हो गई।

एक बार फिर, कमजोर बिंदु स्मार्ट कॉन्ट्रैक्ट कोड नहीं था। यह इसके चारों ओर मौजूद ऑफ-चेन अवसंरचना थी, और इस मामले में एक ब्रिज जिसे AFX ने स्वयं चलाया, Arbitrum के मूल ब्रिज के बजाय।

सुरक्षा कंपनी Blockaid ने 22 जुलाई को 21:30 UTC पर दुरुपयोग को चिह्नित किया। हमलावर ने AFX के USDC कैस्टडी ब्रिज के वैलीडेटर हस्ताक्षर कुंजियों पर नियंत्रण प्राप्त कर लिया — वह घटक जो क्रॉस-चेन निकासी को अधिकृत करता है। पर्याप्त हस्ताक्षरों के साथ, जो ब्रिज के क्वोरम को पूरा करते थे, दुर्भावनापूर्ण निकासी प्रणाली के लिए पूरी तरह से वैध लग रही थी।

यह विवरण महत्वपूर्ण है: ब्लॉकेड ने नोट किया कि ऑन-चेन लॉजिक ठीक उसी तरह काम किया जैसे डिज़ाइन किया गया था। पांच हॉट-वैलिडेटर साइनेचर्स ट्रांसफ़र को मंजूरी देने के लिए आवश्यक सीमा को पूरा करते थे, इसलिए कॉन्ट्रैक्ट ने किसी बग के ट्रिगर होने के बिना फंड जारी कर दिए। समस्या यह थी कि उन साइनेचर्स को उत्पन्न करने वाली कुंजियां गलत हाथों में थीं।

वॉल्ट को खाली करने के बाद, हमलावर ने USDC को Arbitrum से Ethereum पर ब्रिज किया और इसे लगभग 12,467 ETH के लिए, औसतन प्रति टोकन लगभग $1,937 के दर से बदल दिया। PeckShield के अनुसार, परिवर्तित ETH को एकल वॉलेट में एकत्रित कर लिया गया।

नहीं — और यह अंतर महत्वपूर्ण है। दुरुपयोग AFX द्वारा Arbitrum के ऊपर बनाए गए तीसरे पक्ष के पुल से हुआ, न कि Arbitrum के मूल पुल या व्यापक Layer 2 से। ऑफचेन लैब्स (Arbitrum के पीछे की टीम) के सह-संस्थापक स्टीवन गोल्डफेडर ने कहा कि नेटवर्क का मूल पुल किसी भी तरह से हैक या दुरुपयोग नहीं हुआ है।

आर्बिट्रम के अपने ब्रिज का दुरुपयोग पूरे लेयर 2 परितंत्र में लहराता। इसके विपरीत, इसके ऊपर स्थित एक संक्रमित ऐप एक सीमित विफलता है — AFX और उसके उपयोगकर्ताओं के लिए खराब, लेकिन अन्य आर्बिट्रम प्रोटोकॉल के लिए एक प्रणालीगत खतरा नहीं।

कई वर्षों से, ब्रिजेस DeFi में सबसे लाभदायक हमलों के माध्यम रहे हैं, और कारण संरचनात्मक है। इनमें बंद एसेट्स के बड़े पूल होते हैं और ट्रांसफ़र करने के लिए वैलिडेटर सेट या मल्टिसिग व्यवस्थाओं पर निर्भर करते हैं। इससे विश्वास एक छोटे सेट की कुंजियों पर केंद्रित हो जाता है — और अगर ये कुंजियाँ सुरक्षित नहीं रहतीं, तो ऑन-चेन कोड सही तरीके से साइन किए गए निकासी को स्वीकार कर लेगा।

AFX घटना इस पैटर्न के बिल्कुल अनुरूप है। ट्रेडिंग इंजन और Arbitrum की मूल बुनियादी संरचना अछूती रहीं; एकमात्र कमजोर कड़ी टीम द्वारा स्वयं संचालित ब्रिज की साइनिंग परत थी। यह 2026 की व्यापक कहानी को दोहराता है, जिसमें अधिकांश प्रमुख DeFi हानियाँ दोषपूर्ण Solidity से नहीं, बल्कि संक्रमित ऑफ-चेन घटकों से आई हैं।

लगभग $24.15 मिलियन का USDC निकाल लिया गया — जो प्रोटोकॉल के कुल TVL के लगभग बराबर है। बहुत सारे दुरुपयोगों के विपरीत, जहाँ धन मिक्सर में गायब हो जाता है, यहाँ ट्रेल अभी दिखाई दे रहा है: हमलावर ने USDC को लगभग 12,467 ETH के लिए स्वैप किया और इसे एक ज्ञात ईथेरियम वॉलेट में सुरक्षित रखा, जिससे कोई बड़ी अनुगामी निकासी की रिपोर्ट नहीं हुई है। सुरक्षा कंपनियाँ Blockaid और PeckShield सक्रिय रूप से पते का पीछा कर रही हैं।

यह कि धन अभी तक धोया नहीं गया है, रिकवरी के लिए एक संकीर्ण अवधि छोड़ता है — जिसे AFX ठीक से लाभ उठाने की कोशिश कर रहा है।

हमले के कुछ घंटों बाद, AFX ने संक्रमित ब्रिज को निलंबित कर दिया और हमलावर को एक सार्वजनिक प्रस्ताव दिया: चोरी हुए संपत्ति का 70% वापस करें और शेष 30% — लगभग $7.2 मिलियन — को "व्हाइट हैट बोन्टी" के रूप में रखें। टीम ने वापसी के लिए एक विशिष्ट ईथेरियम पता पोस्ट किया।

यह क्रिप्टो दुरुपयोग में एक मानक नियम बन गया है। तर्क सीधा है: 70% वापस पाना कुछ नहीं पाने से बेहतर है, और आधुनिक ऑन-चेन जांच से बड़ी राशि को धोए बिना अंततः पहचाने जाने का खतरा बढ़ता जा रहा है। हालाँकि, इसके आलोचक भी हैं—कुछ सुरक्षा शोधकर्ता का कहना है कि हमलावरों को भुगतान करने से "पहले चुराएँ, बाद में बातचीत करें" का माहौल सामान्य हो जाता है। यहाँ इसका काम करना पूरी तरह से इस बात पर निर्भर करता है कि हमलावर को साफ़ निकास पसंद है या ETH स्थानांतरित करने के जोखिम को।

अभी तक, यह निर्धारित किए जाने की प्रक्रिया चल रही है कि कुंजियाँ कैसे � compromis हुईं, और धन आक्रमणकारी के वॉलेट में ही बना हुआ है।

लेयर 2 नेटवर्क पर पर्पेचुअल DEXs का उपयोग करने वाले हर किसी के लिए, सीख यह है कि ट्रेडिंग इंटरफ़ेस के नीचे झांकें। एक प्रोटोकॉल अपने पर्प्स इंजन के लिए मजबूत स् हो सकता है और फिर भी तब खाली हो जाए अगर यह ब्रिज जिस पर यह निर्भर करता है, उसके पास केंद्रीकृत वैलिडेटर कुंजियाँ हों। एक ही सप्ताह के भीतर AFX और Ostium की घटनाएँ — दोनों Arbitrum पर, दोनों ऑफ-चेन सुरक्षा उल्लंघन — इस बात को नज़रअंदाज़ करना मुश्किल बना देती हैं।

ट्रेडर्स के लिए व्यावहारिक निष्कर्ष: समझें कि कोई प्लेटफॉर्म स्वयं संचालित ब्रिज पर निर्भर करता है या नहीं, एक ही स्थान पर अपनी पूंजी कितनी रखें, और सक्रिय घटना के दौरान अफवाहों के थ्रेड्स के बजाय आधिकारिक चैनल्स का पालन करें।

AFX हैक जैसी घटनाएँ अनऑडिटेड या हल्के नियमित मंचों के साथ आने वाले व्यापारिक समझौते की याद दिलाती हैं। यूरोपीय संघ में, MiCA ढांचा अब एक सामान्य मानक निर्धारित करता है: 1 जुलाई, 2026 से, कोई भी प्लेटफॉर्म जो यूई क्लाइंट्स को सेवा प्रदान करता है, उसे क्रिप्टो-एसेट सर्विस प्रोवाइडर (CASP) प्राधिकरण की आवश्यकता होगी, जिसमें शासन, क्लाइंट-एसेट सुरक्षा, आईटी सुरक्षा और एमएलए आवश्यकताएँ शामिल हैं। 2026 के अंतिम सप्ताह तक, ESMA रजिस्टर में EEA के 300 से अधिक प्राधिकृत CASP सूचीबद्ध हैं, जिनका एकल प्राधिकरण सभी सदस्य राज्यों में पास किया जा सकता है।

अगर आप एक ब्रिज या ऑरेकल-निर्भर पर्प DEX के बजाय नियमित और अनुपालन करने वाले प्लेटफॉर्म पर ट्रेड करना पसंद करते हैं, तो उनकी लाइसेंस स्थिति, शुल्क और उपलब्ध संपत्तियों के आधार पर स्थानों की तुलना करना महत्वपूर्ण है। हमारा ब्रोकर और एक्सचेंज तुलना पृष्ठ इसे पार्श्वद्वय में समझाता है ताकि आप एक ऐसा प्लेटफॉर्म चुन सकें जो आपके वास्तविक ट्रेडिंग शैली के अनुरूप हो।

एक नियमित विकल्प XTB है, जो एक सार्वजनिक रूप से सूचीबद्ध, स्थापित ब्रोकर है जिसने EEA ग्राहकों के लिए स्पॉट क्रिप्टो ट्रेडिंग प्रदान करने की मंजूरी प्राप्त कर ली है (अपनी साइप्रस अनुमति के माध्यम से), अपने नियमित ब्रोकरेज उत्पादों के साथ। आप XTB here के माध्यम से खाता खोल सकते हैं।