Un bridge exploité par la plateforme de produits dérivés décentralisée AFX Trade a perdu 24,15 millions d’USDC mercredi après qu’un retrait non autorisé a franchi son processus d’approbation par validateurs et de contestation.

Blockaid a détecté l’exploit vers 21:30 UTC le 22 juillet. Dans une publication sur X, la société de sécurité a indiqué que l’infrastructure touchée était exploitée par AFX et qu’elle travaillait avec des contributeurs d’Arbitrum pour contacter le protocole et contenir les fonds volés : https://x.com/blockaid_/status/2080080240265621680

Avant la transaction, le bridge détenait environ $24.2 million en USDC. Le retrait a laissé très peu de liquidité restante en stablecoins dans le bridge.

Une analyse onchain préliminaire a montré que des signatures liées à cinq validateurs hot avaient approuvé le transfert de 24,150,000 USDC. Ces signatures représentaient 7,142 des 10,000 unités de puissance de validation du bridge, dépassant le seuil des deux tiers requis pour autoriser un retrait.

Les bridges fondés sur des validateurs s’appuient généralement sur un quorum de signataires et une période de contestation afin d’empêcher les transferts non autorisés avant la libération des actifs. Dans ce cas, la demande a ensuite traversé une fenêtre de contestation d’environ 200 secondes avant que le contrat du bridge ne libère les fonds. Au moment de la publication, AFX n’avait pas publié de post-mortem technique confirmant si des clés de validateurs avaient été volées, si des signataires avaient été compromis ou si une autre faiblesse d’autorisation avait permis à la transaction d’aboutir.

L’attaquant convertit les USDC en 12,467 ETH

L’attaquant a transféré les USDC d’Arbitrum vers Ethereum en utilisant le Cross-Chain Transfer Protocol de Circle, puis a échangé les fonds contre environ 12,467 ETH.

Lookonchain a indiqué que le prix d’achat moyen était proche de $1,937 par ETH : https://x.com/lookonchain/status/2080092059252486487. Les actifs convertis valaient environ $24.15 million lorsque les swaps ont été finalisés.

Steven Goldfeder, CEO d’Offchain Labs, a déclaré que la transaction provenait d’un protocole tiers et que le bridge natif d’Arbitrum n’avait pas été piraté ni exploité : https://x.com/sgoldfed/status/2080071210847674709. Cette distinction est importante, car l’infrastructure de bridge de base d’Arbitrum et les bridges indépendants au niveau applicatif reposent sur des modèles de sécurité, des opérateurs et des contrôles de risque distincts. L’équipe d’Arbitrum a commencé à coordonner avec le projet affecté tout en enquêtant sur le retrait.

AFX n’avait pas annoncé d’accord de récupération, de processus d’indemnisation ni d’explication définitive concernant les approbations des validateurs au moment de la publication.

Les exploits de bridges alourdissent les pertes DeFi de la semaine

Le retrait d’AFX est intervenu après plusieurs autres attaques signalées au cours de la même semaine, renforçant l’attention portée aux systèmes cross-chain et aux composants offchain que beaucoup d’entre eux utilisent pour approuver les transferts. Balance Coin s’est effondré après un exploit d’oracle de $915,000 chez 42DAO le 22 juillet, lorsqu’un prix manipulé de BTCB a déclenché des liquidations et l’émission de BLC sous-collatéralisés.

Wanchain a désactivé son bridge Cardano-BNB Chain après que 515 millions de NIGHT ont quitté sa trésorerie via des transactions liées à une faille présumée de réutilisation de signature.

Allbridge Core a également suspendu ses opérations après qu’un exploit de prêt flash sur Solana de $1.65 million a manipulé la tarification de son pool de stablecoins.