AFX Trade, uma exchange descentralizada de perpétuos construída no Arbitrum, foi esvaziada em US$ 24,15 milhões em 22 de julho. O atacante comprometeu as chaves de assinatura do validador da ponte da plataforma, esvaziou USDC do protocolo, ponteou tudo para o ethereum e trocou imediatamente por aproximadamente 12.467 ETH a um preço médio de cerca de US$ 1.937 por token.
A resposta da plataforma? Uma oferta pública para permitir que o hacker mantenha 30% dos fundos roubados, cerca de US$ 7,2 milhões, se devolver os 70% restantes.
O que aconteceu e como a exploração funcionou
O ataque visou uma ponte de terceiros operada pela AFX Trade, não a infraestrutura nativa de ponte do Arbitrum. O Arbitrum em si não foi comprometido, e seu mecanismo principal de ponte permanece intacto. A vulnerabilidade estava na camada mantida pela AFX sobre ela.
O atacante obteve acesso às chaves de assinatura do validador da ponte operada pela AFX, o que significou que eles podiam mover fundos sem restrições. Os US$ 24,15 milhões em USDC foram ponteados do Arbitrum para o Ethereum e convertidos em ETH.
A exploração segue um playbook familiar. Um ataque semelhante atingiu a ponte Verus-Ethereum em maio de 2026, usando um método comparável para esvaziar os fundos.
A empresa de segurança Blockaid identificou a exploração da AFX Trade como parte de um conjunto mais amplo de ataques rotulados como “Hackers Day”. Os prejuízos totais provenientes de hacks em julho de 2026 atingiram quase US$ 97 milhões.
A aposta de bônus de 30%
A decisão da AFX Trade de oferecer publicamente uma recompensa de 30% ao atacante está se tornando prática cada vez mais padrão em explorações de criptomoedas. A lógica é simples: recuperar 70% dos fundos roubados é melhor do que não recuperar nada, e a forense na cadeia torna cada vez mais difícil lavar grandes quantias sem ser eventualmente identificado.
Um padrão crescente de explorações de pontes
Ataques a pontes foram, por vários anos consecutivos, o vetor de ataque mais lucrativo no DeFi. A razão é estrutural: as pontes detêm grandes pools de ativos bloqueados e dependem de conjuntos de validadores ou arranjos multisig que criam pontos de falha concentrados.
O incidente da AFX Trade encaixa-se perfeitamente nesse padrão. Uma ponte de terceiros, mantida pela equipe do protocolo e não pela rede subjacente de Layer 2, revelou-se o elo fraco.
Os quase US$ 97 milhões em perdas totais de ataques em julho de 2026, conforme rastreados pela Blockaid, sugerem que o problema está piorando, e não melhorando.
O que isso significa para os investidores
Para traders que utilizam DEXs perp em redes Layer 2, a exploração da AFX Trade é um lembrete concreto para avaliar a infraestrutura sob a interface de negociação. O exchange em si pode ter contratos inteligentes sólidos para seu mecanismo de perps, mas se a ponte na qual ele depende possui chaves de validador centralizadas, nada disso importa quando as chaves são comprometidas.