Ein Exploit gegen die von AFX betriebene Cross-Chain-Bridge führte am 22. Juli 2026 zum Verlust von 24,15 Millionen USDC. Der Angriff betraf die von AFX betriebene Infrastruktur, ein souveränes Layer-1-Netzwerk für dezentralen Perpetual-Handel, das Arbitrum über eine Drittanbieter-Bridge als Einstiegspunkt für Einzahlungen nutzt — nicht die native Bridge von Arbitrum, die weiterhin normal funktioniert.

Das Blockchain-Sicherheitsunternehmen Blockaid entdeckte den Exploit am 22. Juli 2026 um 21:30 UTC gegen @AFX_XYZ, ein Protokoll auf @arbitrum. Arbiscan-Protokolle zeigten die Übertragung von 24.150.000 USDC aus dem Bridge-Vertrag an eine vom Angreifer kontrollierte Adresse.

Blockaid erklärte, das Team arbeite gemeinsam mit Arbitrum und AFX daran, die Lage zu bewerten. Zum Zeitpunkt der Veröffentlichung waren keine Vermögenswerte wiedererlangt worden, und AFX hatte keine Erklärung zur Ursache des Exploits veröffentlicht.

Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ, a protocol on @arbitrum. The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on… — Blockaid (@blockaid_) July 22, 2026

Untersuchung läuft

Steven Goldfeder, Mitgründer von Offchain Labs, stellte klar, dass die verdächtige Transaktion von einem Drittanbieter-Protokoll ausging und nicht von der nativen Bridge von Arbitrum. Er bestätigte, dass das Team bei der Untersuchung mit AFX zusammenarbeite und weitere Details im Verlauf der Prüfung bekannt würden.

Nach Angaben des Blockchain-Sicherheitsunternehmens PeckShield verschob der Angreifer die gestohlenen USDC von Arbitrum zu Ethereum, bevor er die Erlöse in 12.467,5 ETH umwandelte. Das On-Chain-Analyse-Konto Lookonchain berichtete, dass die ETH zu einem Durchschnittspreis von etwa $1.937 je ETH erworben wurden. Durch die Umwandlung der Erlöse aus einem Stablecoin — dessen Emittent Guthaben auf Smart-Contract-Ebene einfrieren kann — in einen nativen Krypto-Asset wie ETH verringerte der Angreifer die Wahrscheinlichkeit eines zentralisierten Einfrierens und erschwerte ein Eingreifen entlang der Spur.

Sicherheit von Cross-Chain-Bridges erneut im Fokus

Der AFX-Exploit folgt auf eine Reihe von Sicherheitsvorfällen bei Cross-Chain-Bridges im Bereich der dezentralen Finanzen. Bridges gehörten historisch zu den am häufigsten angegriffenen Komponenten in DeFi, weil sie große Pools gesperrter Vermögenswerte auf einer Chain verwahren und zugleich entsprechende Repräsentationen auf einer anderen ausgeben. Dadurch entsteht ein konzentriertes Ziel, dessen Kompromittierung unmittelbaren Zugriff auf erhebliche Mittel ermöglichen kann. Anfang dieses Jahres musste Stake DAO seine vsdCRV-Bridge nach einer nicht autorisierten Prägung auf Arbitrum schließen. Separat verlor die LayerZero-Bridge von Kelp DAO etwa 116.500 rsETH im Wert von rund $292 Millionen.

Der Angriff unterstreicht die operative Unterscheidung zwischen einem Blockchain-Netzwerk und den darauf aufbauenden Drittanbieter-Anwendungen. In diesem Fall sind die Verluste auf die Bridge-Infrastruktur von AFX beschränkt und betreffen nicht das Arbitrum-Netzwerk selbst. Dennoch wirft der Vorfall weiterhin Fragen zu Cross-Chain-Sicherheitsprotokollen, Autorisierungsmechanismen von Bridges und den betrieblichen Verfahren für dezentrale Bridge-Systeme auf.