Hanya beberapa hari setelah eksploit oracle Ostium menyerang Arbitrum, sebuah perpetuals DEX lain di jaringan yang sama juga diserang. Pada 22 Juli 2026, AFX Trade kehilangan sekitar $24,15 juta USDC setelah penyerang mengompromikan kunci penandatanganan validator di balik jembatan yang dioperasikan protokol tersebut. Dana yang dicuri dipindahkan ke ethereum dan ditukar menjadi sekitar 12.467 ETH — hampir mengosongkan total nilai yang terkunci di platform.
Sekali lagi, titik lemahnya bukan kode kontrak pintar. Itu adalah infrastruktur off-chain yang mengelilinginya, dan dalam kasus ini sebuah jembatan yang dijalankan sendiri oleh AFX daripada jembatan asli Arbitrum.
Apa yang terjadi pada AFX Trade?
Perusahaan keamanan Blockaid menandai eksploitasi tersebut pada pukul 21:30 UTC pada 22 Juli. Penyerang mendapatkan kendali atas kunci penandatanganan validator untuk jembatan penitipan USDC AFX — komponen yang mengotorisasi penarikan lintas rantai. Dengan cukup tanda tangan untuk memenuhi kuorum jembatan, penarikan jahat tampak sepenuhnya sah menurut sistem.
Detail itu penting: Blockaid mencatat logika on-chain berfungsi tepat seperti yang dirancang. Lima tanda tangan hot-validator memenuhi ambang yang diperlukan untuk menyetujui transfer, sehingga kontrak melepaskan dana tanpa memicu bug apa pun. Masalahnya adalah kunci-kunci yang menghasilkan tanda tangan tersebut berada di tangan yang salah.
Setelah mengosongkan vault, penyerang melakukan bridging USDC dari Arbitrum ke Ethereum dan menukarnya menjadi sekitar 12.467 ETH dengan rata-rata sekitar $1.937 per token. Menurut PeckShield, ETH yang dikonversi digabungkan ke dalam satu dompet.
Apakah jaringan Arbitrum itu sendiri diretas?
Tidak — dan perbedaan ini penting. Eksploitasi menargetkan jembatan pihak ketiga yang dijaga AFX di atas Arbitrum, bukan jembatan asli Arbitrum atau Layer 2 yang lebih luas. Steven Goldfeder, co-founder Offchain Labs (tim di balik Arbitrum), menyatakan jembatan asli jaringan tidak diretas atau dieksploitasi sama sekali.
Pelanggaran terhadap jembatan Arbitrum sendiri akan menyebar ke seluruh ekosistem Layer 2. Sebaliknya, aplikasi yang dikompromikan yang berdiri di atasnya adalah kegagalan yang terbatas—buruk bagi AFX dan penggunanya, tetapi bukan ancaman sistemik terhadap protokol Arbitrum lainnya.
Mengapa jembatan menjadi target yang umum?
Jembatan telah menjadi salah satu vektor serangan paling menguntungkan dalam DeFi selama bertahun-tahun, dan alasannya bersifat struktural. Mereka memegang sejumlah besar aset yang terkunci dan bergantung pada set validator atau pengaturan multisig untuk mengotorisasi transfer. Hal ini memusatkan kepercayaan pada sejumlah kecil kunci—dan jika kunci-kunci tersebut dikompromikan, kode on-chain akan dengan senang hati menyetujui penarikan yang tampaknya ditandatangani dengan benar.
Insiden AFX sesuai dengan pola ini dengan tepat. Mesin perdagangan dan infrastruktur inti Arbitrum tidak tersentuh; satu-satunya titik lemah adalah lapisan penandatanganan dari jembatan yang dioperasikan oleh tim itu sendiri. Ini mengingatkan pada kisah lebih luas tahun 2026, di mana sebagian besar kerugian DeFi besar berasal dari komponen off-chain yang dikompromikan, bukan dari Solidity yang cacat.
Berapa banyak yang dicuri, dan di mana uangnya sekarang?
Sekitar $24,15 juta dalam USDC telah dicuri—hampir seluruh TVL protokol. Berbeda dengan banyak eksploitasi di mana dana menghilang ke dalam mixer, di sini jejaknya masih terlihat: penyerang menukar USDC menjadi sekitar 12.467 ETH dan membiarkannya tertinggal di dompet ethereum yang dikenal, tanpa laporan penarikan besar berikutnya. Perusahaan keamanan Blockaid dan PeckShield sedang secara aktif melacak alamat tersebut.
Bahwa dana belum dicuci belum memungkinkan jendela pemulihan yang sempit — yang justru sedang dicoba dimanfaatkan oleh AFX.
Apa yang sedang dilakukan AFX untuk memulihkan dana tersebut?
Beberapa jam setelah serangan, AFX menghentikan jembatan yang diserang dan menawarkan secara publik kepada penyerang: kembalikan 70% aset yang dicuri dan simpan sisa 30% — sekitar $7,2 juta — sebagai "bounty white hat." Tim memposting alamat Ethereum spesifik untuk pengembalian.
Ini telah menjadi panduan standar dalam eksploitasi kripto. Logikanya sederhana: memulihkan 70% lebih baik daripada tidak memulihkan apa-apa sama sekali, dan forensik on-chain modern membuat pencucian sejumlah besar uang semakin sulit tanpa akhirnya teridentifikasi. Namun, ini tidak tanpa kritik—beberapa peneliti keamanan berpendapat bahwa membayar penyerang justru menormalisasi dinamika "curi dulu, negosiasi nanti." Apakah ini berhasil di sini sepenuhnya bergantung pada apakah penyerang lebih memilih keluar dengan bersih daripada mengambil risiko mencoba memindahkan ETH.
Saat ini, metode pasti bagaimana kunci-kunci tersebut dikompromikan masih dalam penyelidikan, dan dana tetap berada di dompet penyerang.
Apa arti peretasan AFX bagi para pedagang DeFi?
Untuk siapa pun yang menggunakan DEX permanen di jaringan Layer 2, pelajarannya adalah melihat di bawah antarmuka perdagangan. Sebuah protokol bisa memiliki kontrak pintar yang solid untuk mesin Perp-nya dan tetap dirusak jika jembatan yang digunakannya memiliki kunci validator terpusat. Insiden AFX dan Ostium dalam satu minggu yang sama — keduanya di Arbitrum, keduanya kompromi off-chain — membuat poin ini sulit diabaikan.
Poin praktis untuk trader: pahami apakah platform bergantung pada jembatan yang dioperasikan sendiri, berhati-hatilah terhadap seberapa banyak modal yang Anda biarkan tertahan di satu tempat, dan ikuti saluran resmi daripada thread rumor selama insiden aktif.
Di mana Anda dapat memperdagangkan kripto di platform yang diatur?
Kejadian seperti peretasan AFX adalah pengingat akan kompromi yang datang bersama platform yang tidak diaudit atau diatur secara ringan. Di UE, kerangka MiCA kini menetapkan standar umum: sejak 1 Juli 2026, setiap platform yang melayani klien UE memerlukan otorisasi Crypto-Asset Service Provider (CASP), yang mencakup tata kelola, perlindungan aset klien, keamanan TI, dan persyaratan AML. Pada akhir Juli 2026, daftar ESMA mencantumkan hampir 300 CASP yang diotorisasi di seluruh EEA, dengan satu otorisasi yang berlaku lintas semua negara anggota.
Jika Anda lebih suka berdagang di platform yang terregulasi dan patuh daripada mengekspos dana Anda ke perp DEX yang bergantung pada jembatan atau oracle, ada baiknya membandingkan platform berdasarkan status lisensi, biaya, dan aset yang tersedia. Halaman perbandingan broker dan bursa kami menjelaskan ini secara berdampingan sehingga Anda dapat memilih platform yang sesuai dengan cara Anda sebenarnya berdagang.
Salah satu pilihan yang diatur adalah XTB, broker yang terdaftar di bursa dan mapan yang telah memperoleh persetujuan untuk menawarkan perdagangan crypto spot kepada klien EEA (melalui otorisasi Siprus-nya), bersama produk broker teratur lainnya. Anda dapat membuka akun dengan XTB di sini.