AFX erlitt am 22. Juli einen Verlust von $24.15 million in USDC, nachdem ein Angreifer eine mit dem Handelsprotokoll verbundene Cross-Chain-Bridge ins Visier genommen hatte, während die native Bridge von Arbitrum unbeeinträchtigt blieb.

Der Vorfall löste eine Untersuchung durch Blockaid und das Arbitrum-Team aus, während On-Chain-Tracker die gestohlenen Gelder von Arbitrum zu Ethereum verfolgten. Der Exploiter wandelte die Erlöse später in 12,467.5 ETH um.

AFX betreibt eine eigene souveräne Layer 1 für den Handel mit Perpetuals und akzeptiert USDC-Einzahlungen über Arbitrum. Bei der betroffenen Infrastruktur handelte es sich um eine von AFX betriebene Drittanbieter-Bridge, nicht um die Kern-Bridge von Arbitrum.

AFX-Bridge verliert $24.15 million USDC

Blockaid erklärte, den Exploit am 22. Juli um 9:30 p.m. UTC entdeckt zu haben. Nach Angaben der Sicherheitsfirma zielte der Angriff auf eine von AFX betriebene Bridge ab und entzog rund 24.15 million USDC.

Ein Arbiscan-Eintrag zeigt eine erfolgreiche Übertragung von 24,150,000 USDC aus dem Bridge-Vertrag an die Empfängeradresse um 9:30:25 p.m. UTC.

Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ , a protocol on @arbitrum . The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on… — Blockaid (@blockaid_) July 22, 2026

Blockaid teilte mit, mit dem Arbitrum-Team zusammenzuarbeiten, um auf den Vorfall zu reagieren, das betroffene Protokoll zu kontaktieren und dabei zu helfen, die gestohlenen Gelder einzudämmen. Auf Grundlage der zum Veröffentlichungszeitpunkt geprüften öffentlichen Updates war keine Wiederherstellung bestätigt worden.

AFX hatte keinen verifizierten technischen Postmortem-Bericht veröffentlicht, der erklärt, wie der Angreifer die Autorisierung zum Abheben der Gelder erlangte, und das Protokoll hatte keinen Wiederherstellungsplan angekündigt.

Steven Goldfeder, Mitgründer von Offchain Labs, bestätigte, dass die verdächtige Transaktion von einem Drittanbieter-Protokoll ausging, und grenzte den AFX-Vorfall von der eigenen Bridge-Infrastruktur von Arbitrum ab.

„We’re aware of a report of a bridge hack on Arbitrum and are investigating. We can confirm that the transaction in question originated from a third-party protocol, and the Arbitrum native bridge has not been hacked or exploited in any way,” Goldfeder sagte.

Goldfeder fügte hinzu, dass das Team mit dem Drittanbieter-Protokoll koordinieren und weitere Details mitteilen werde, sobald sie verfügbar seien. Die Unterscheidung ist wichtig, da Anwendungen eigene Verträge und Bridges auf Arbitrum betreiben können, ohne dass diese Systeme Teil der nativen Bridge von Arbitrum sind.

AFX nutzt Arbitrum als Route für USDC-Einzahlungen, während es sein Handelssystem auf einer dedizierten Layer 1 betreibt. Das Protokoll beschreibt sich selbst als dezentrale Derivateplattform, die auf einer souveränen Ausführungsumgebung basiert. In einem jüngsten Protokollbeitrag hieß es außerdem, Nutzer könnten USDC von Arbitrum einzahlen, bevor sie auf die Perpetual-Märkte zugreifen.

Exploiter wandelt gestohlene USDC in ETH um

PeckShield erklärte, der Angreifer habe die gestohlenen USDC von Arbitrum zu Ethereum verschoben und die Erlöse in 12,467.5 ETH umgewandelt. Lookonchain berichtete separat, dass der Exploiter nach der Verschiebung der Gelder etwa 12,467 ETH zu einem Durchschnittspreis von rund $1,937 pro ETH gekauft habe.

#PeckShieldAlert @AFX_XYZ on #Arbitrum has been exploited for ~$24M USDC. The exploiter has bridged the stolen funds from #Abitrum to #Ethereum and swapped them for 12,467.5 $ETH , currently sitting in 0x6276…ebAC. pic.twitter.com/fUHFfEn1F5 — PeckShieldAlert (@PeckShieldAlert) July 23, 2026

Durch die Umwandlung wurde der gestohlene Wert von einem an den U.S.-Dollar gekoppelten Stablecoin in Ether verlagert, wodurch die Bestände ETH-Kursschwankungen ausgesetzt sind. Sicherheitsteams verfolgten die Gelder nach dem Swap weiter.

Zum Veröffentlichungszeitpunkt bestätigten die geprüften Quellen nicht, dass Circle die USDC vor der Umwandlung eingefroren hatte oder dass ein Teil der ETH wiederhergestellt worden war.

Der Angriff reiht sich in mehrere bridgebezogene Sicherheitsvorfälle in diesem Jahr ein. Wie crypto.news zuvor berichtete, schloss Stake DAO seine vsdCRV-Bridge nach einer nicht autorisierten Prägung auf Arbitrum im Mai. Das Projekt erklärte, es habe die Mainnet-Deckung des Tokens gesichert und den Vorfall auf die betroffene Bridge begrenzt.

Bereits im April traf ein größerer Exploit die LayerZero-gestützte Bridge von Kelp DAO. Angreifer entzogen rund 116,500 rsETH im Wert von etwa $292 million. Arbitrum fror später mehr als 30,000 ETH ein, die mit diesem Angreifer in Verbindung standen, nachdem die Gelder auf Arbitrum One verschoben worden waren.

Untersuchung konzentriert sich auf von AFX betriebene Infrastruktur

Die Untersuchung konzentriert sich nun auf die von AFX betriebene Bridge und den Autorisierungsprozess hinter der Abhebung von 24.15 million USDC. Die bestätigte Transaktion zeigt, dass der Bridge-Vertrag die Übertragung abgeschlossen hat, doch öffentliche Erklärungen haben die verifizierte Ursache bislang nicht festgestellt.

Ein vollständiger Postmortem-Bericht könnte klären, ob der Vorfall kompromittierte Validator-Zugangsdaten, fehlerhafte Zugriffskontrollen oder eine andere Schwachstelle umfasste. Der wichtigste bestätigte Punkt ist, dass der Exploit eine von AFX betriebene Infrastruktur betraf und nicht die native Bridge von Arbitrum.

Blockaid und Offchain Labs stellten diese Unterscheidung beide in ihren ersten Reaktionen klar. Das Arbitrum-Netzwerk blieb in Betrieb, und die geprüften Berichte zeigten keinen Verlust aus seiner nativen Bridge.

Der Vorfall lenkt außerdem die Aufmerksamkeit auf die Einzahlungsinfrastruktur von AFX. Das Protokoll hat USDC-Einzahlungen von Arbitrum als Zugang zu seiner Handelsplattform beworben. Änderungen an Einzahlungen, Abhebungen oder Bridge-Betrieb werden von der Reaktion des Protokolls und der laufenden Untersuchung abhängen.

Der Fall ist weiterhin in Entwicklung. Der bestätigte Verlust liegt bei etwa $24.15 million in USDC, während On-Chain-Tracker den gestohlenen Wert in rund 12,467 ETH auf Ethereum nachverfolgt haben. Weitere Updates werden von AFX, Blockaid und dem Arbitrum-Team erwartet, während sie den Sicherheitsverstoß prüfen und die Gelder des Angreifers verfolgen.