AFX Trade, une bourse de perpétuels décentralisée construite sur Arbitrum qui règle les transactions en USDC, a été drainée de 24,15 millions de dollars mercredi dans une attaque ciblant un pont de garde USDC exploité par le protocole lui-même, selon la société de sécurité Blockaid.

La bourse a confirmé l'incident et indiqué que le vecteur d'attaque exact reste sous investigation. La société d'analyse on-chain PeckShield a rapporté que l'attaquant a transféré l'USDC volé vers Ethereum et l'a échangé contre 12 468 ETH, actuellement détenus dans un seul portefeuille. La transaction peut être consultée sur Arbiscan.

Les ponts interchaînes figurent systématiquement parmi les composants les plus ciblés de la finance décentralisée, car ils regroupent de grands volumes d'actifs sous contrôle de garde ou de contrats intelligents pour faciliter les transferts entre réseaux. Les principales attaques de ponts incluent le piratage de 625 millions de dollars du Ronin Network en 2022 et l'attaque de 326 millions de dollars contre Wormhole la même année.

AFX a publié une déclaration publique sur X :

AFX is aware of an incident involving the AFX-operated USDC custody bridge on Arbitrum. Upon detecting the incident, we immediately suspended bridge operations and initiated our incident response procedures. Our engineering and security teams are actively investigating the root…

— AFX Trade (@AFX_XYZ) 23 juillet 2026

Le cofondateur d'Arbitrum, Steven Goldfeder, s'est empressé de dissocier le réseau de layer-2 de l'incident, déclarant que le pont natif d'Arbitrum « n'a fait l'objet d'aucun piratage ou exploitation » et que la transaction provenait d'un protocole tiers. Une faille dans le propre pont d'Arbitrum aurait eu des conséquences de grande ampleur sur l'ensemble de l'écosystème de layer-2, tandis qu'une application compromise au-dessus représente une défaillance contenue.

AFX a fait écho à cette évaluation, indiquant que les dégâts semblaient « isolés au pont de garde exploité par AFX ». La bourse a précisé que ni son infrastructure de trading et son mainnet, ni le réseau Arbitrum lui-même, n'avaient été compromis. L'entreprise a ajouté qu'elle collaborait avec les partenaires de l'écosystème et des sociétés de sécurité pour retracer les actifs volés.

Quelques heures plus tard, le responsable de la croissance d'AFX, Ken C, a publiquement proposé un accord à l'attaquant : restituer 70 % des fonds volés et conserver les 30 % restants comme « prime white hat ». Ce type d'appel est devenu une tactique récurrente lors des attaques cryptographiques, en partie parce qu'une fois les actifs volés convertis en ETH et détenus dans un portefeuille en auto-conservation, la récupération par des moyens juridiques ou techniques est extrêmement limitée. En avril, le Drift Protocol basé sur Solana a fait une démarche similaire après son piratage de 285 millions de dollars.

Le vol s'ajoute à une année déjà difficile pour la DeFi, qui a perdu plus de 840 millions de dollars à cause de piratages en 2026. L'incident survient également une semaine seulement après que la plateforme de perpétuels sur Arbitrum Ostium a été drainée de 18 millions de dollars suite à la compromission d'une clé d'oracle, soulignant l'exposition particulière des protocoles de trading à effet de levier sur Arbitrum aux attaques au niveau de l'infrastructure.