AFX Trade, sebuah bursa perpetaan terdesentralisasi yang menyelesaikan transaksi dalam koin stabil yang dipatokkan dolar, USDC, telah dirampas sebanyak $24,15 juta pada hari Rabu selepas penyerang mengompromikan kunci penandatanganan validator di belakang jambatan yang dioperasikan protokol tersebut di Arbitrum, data blok rantai menunjukkan.
Steven Goldfeder, salah seorang penubuh Offchain Labs, yang membangun dan mengekalkan rangkaian itu, berkata jambatan asli Arbitrum "tidak pernah dihakis atau dieksploitasi sebarang cara" dan transaksi itu berasal daripada protokol pihak ketiga.
Pencurian terhadap jambatan sendiri Arbitrum akan menandakan risiko di seluruh rangkaian lapisan-2, tetapi protokol yang dikompromikan yang berjalan di atasnya adalah kegagalan yang terkawal.
Tiada apa-apa dalam logik kod jambatan itu yang rosak. Jambatan adalah alat berdasarkan blok rantai untuk memindahkan token antara pelbagai rangkaian, termasuk yang tidak disokong pada awalnya.
Syarikat keselamatan Blockaid mengatakan logik atas rantai tidak dilangkau. Sebaliknya, lima tanda tangan hot-validator jambatan, iaitu persetujuan yang mengesahkan penarikan, menyetujui pemindahan 24,150,000 USDC ke dompet penyerang, memenuhi kuorum dua pertiga yang diperlukan jambatan.
Blockaid mendeteksi eksploit pada 2026-07-22 21:30 UTC yang menargetkan @AFX_XYZ, sebuah protokol di @arbitrum. Eksploit ini spesifik terhadap jembatan yang dioperasikan oleh AFX. Sekitar 24,15M USDC telah disedot hingga kini dari protokol tersebut.
Pasukan kami telah bekerja bersama orang-orang luar biasa di… https://t.co/0Qd9ve5gPB
Kontrak menganggap penarikan sebagai sah dan melepaskan dana selepas tempoh pertikaian 200 saat. Jambatan melakukan tepat apa yang dirancang untuk dilakukan, tetapi kunci yang memberikan kebenaran jelas berada di tangan yang salah.
Penyerang kemudian menghubungkan USDC yang dicuri ke ethereum dan menukarkannya menjadi sekitar 12.467 ETH, bernilai sekitar $24 juta, yang menurut pelacak on-chain kini berada dalam satu dompet.
Aktiviti perniagaan AFX telah meningkat tajam menjelang serangan itu, dengan isu harian perpetuals melonjak ke paras tertinggi berbilang bulan pada pertengahan Julai, menurut DefiLlama, semasa protokol tersebut menarik pengguna dan, bersama mereka, deposit.
Jumlah sekitar $24 juta yang dicuri hampir keseluruhan nilai terkunci protokol, bermakna penyerang mengosongkan peti simpanan hampir pada masa ia paling penuh.
Kerugian ini berlaku semasa tempoh yang berat bagi keselamatan kripto, dengan Q2 antara kuartal terburuk untuk serangan peringkat sejarah dan siri protokol berdasarkan Arbitrum, termasuk eksploitasi oracle yang menguras $18 juta yang berasingan dari platform RWA Ostium seminggu sebelumnya, diserang berturut-turut.
Dengan demikian, insiden ini merupakan kegagalan serupa dengan kerugian Drift Protocol sebanyak kira-kira $285 juta pada bulan April, di mana penyerang menghabiskan berbulan-bulan untuk mencapai akses istimewa daripada merompak sebarang kontrak.