AFX Trade, eine auf Arbitrum aufgebaute dezentrale Perpetuals-Börse, die in an den Dollar gekoppeltem USDC abwickelt, wurde am Mittwoch um etwa $24.15 Millionen erleichtert, nachdem ein Angreifer die Validator-Signaturschlüssel kompromittiert hatte, die eine vom Protokoll betriebene Bridge absichern, wie Blockchain-Daten zeigen.

Der Vorfall ist der jüngste in einer Reihe prominenter Exploits, die auf Off-Chain-Komponenten statt auf Schwachstellen in Smart Contracts abzielen. In diesem Fall funktionierte die On-Chain-Logik genau wie vorgesehen — sie verifizierte Signaturen und führte die Transaktion aus. Das Versagen lag bei den privaten Schlüsseln, mit denen diese Signaturen erzeugt wurden.

Das Sicherheitsunternehmen Blockaid entdeckte den Exploit am 2026-07-22 um 21:30 UTC. Ziel war @AFX_XYZ, ein Protokoll auf @arbitrum. Der Exploit betraf spezifisch eine Bridge, die AFX betreibt. Etwa 24.15M USDC wurden aus dem Protokoll abgezogen.

Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ, a protocol on @arbitrum. The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on… — Blockaid (@blockaid_) July 22, 2026

Wie der Angriff ablief

Die Bridge erforderte ungefähr ein Zwei-Drittel-Quorum von Validator-Signaturen, um eine Auszahlung zu autorisieren. Der Angreifer erlangte genügend private Validator-Signaturschlüssel — die von Bridge-Betreibern off-chain gehaltenen Hot Keys —, um fünf gültige Hot-Validator-Signaturen zu erzeugen. Damit wurde die Schwelle überschritten, die nötig war, um die Übertragung von 24,150,000 USDC an die Wallet des Angreifers zu genehmigen.

Der Contract behandelte die Auszahlung als legitim und gab die Mittel nach einer 200-sekündigen Streitfrist frei. Dieses Zeitfenster ließ praktisch keine Zeit für manuelles Eingreifen oder eine Notfallpause. Blockaid bestätigte, dass die On-Chain-Logik nicht umgangen wurde; die Bridge funktionierte genau wie vorgesehen, aber die zur Autorisierung der Auszahlung verwendeten Schlüssel befanden sich in den falschen Händen.

Anschließend bridgte der Angreifer die gestohlenen USDC zu Ethereum und tauschte sie in etwa 12,467 ETH im Wert von rund $24 Millionen. On-Chain-Tracker berichten, dass diese Mittel nun in einer einzigen Wallet liegen. Die Umwandlung in ETH ist bemerkenswert, weil der USDC-Emittent Circle in früheren Vorfällen gestohlene Token auf Contract-Ebene eingefroren hat — eine Abhilfe, die nicht verfügbar ist, sobald Mittel als natives ETH gehalten werden.

On-Chain-Transaktionsdaten bestätigen die Bewegung der Mittel.

Native Bridge von Arbitrum nicht betroffen

Steven Goldfeder, Mitgründer von Offchain Labs — dem Unternehmen, das Arbitrum entwickelt und betreut — erklärte, die native Bridge des Netzwerks sei "has not been hacked or exploited in any way" und die Transaktion sei von einem Drittanbieter-Protokoll ausgegangen.

Ein Angriff auf Arbitrums eigene Bridge hätte auf ein systemisches Risiko für das gesamte Layer-2-Netzwerk hingedeutet. Ein kompromittiertes Protokoll, das darauf aufsetzt, stellt dagegen einen begrenzten Ausfall dar. Bridges sind blockchainbasierte Werkzeuge, um Token zwischen Netzwerken zu übertragen, die diese nicht nativ unterstützen.

Zeitpunkt und Kontext

Der Zeitpunkt war für AFX besonders schädlich. Die Handelsaktivität des Protokolls war im Vorfeld des Angriffs stark gestiegen; das tägliche Perpetuals-Volumen erreichte Mitte Juli laut DefiLlama Mehrmonatshochs, während die Plattform neue Nutzer und damit Einlagen anzog. Die abgezogenen rund $24 Millionen entsprachen nahezu dem gesamten Total Value Locked von AFX — der Angreifer leerte den Tresor also ungefähr zu dem Zeitpunkt, an dem er am vollsten war.

Der Vorfall weist Parallelen zum Verlust von rund $285 Millionen bei Drift Protocol im April auf, bei dem Angreifer über Monate privilegierten Zugang aufbauten, statt einen Smart Contract zu brechen. Beide Fälle unterstreichen, dass Angreifer ihre Bemühungen zunehmend auf Schwächen in der operativen Sicherheit verlagern — Schlüsselmanagement, Oracle-Manipulation und Social Engineering privilegierter Insider —, während geprüfte Smart Contracts schwerer zu knacken werden.

Der Verlust ereignet sich in einer schwierigen Phase für die Krypto-Sicherheit. Q2 2026 gehörte laut Hackens Q2-Sicherheitsbericht zu den schlechtesten Quartalen für Hacks seit Beginn der Aufzeichnungen, und mehrere Arbitrum-basierte Protokolle wurden kurz hintereinander getroffen. Nur eine Woche zuvor zog ein Oracle-Exploit weitere $18 Millionen von der RWA-Plattform Ostium ab. Die meisten Hacks und Exploits in diesem Jahr zielten auf Off-Chain-Komponenten statt auf Schwachstellen in den Smart Contracts selbst.