7月22日、攻撃者が取引プロトコルに接続されたクロスチェーンブリッジを標的にしたことで、AFXは2415万USDCの損失を被りました。Arbitrumのネイティブブリッジは影響を受けませんでした。

このインシデントにより、BlockaidとArbitrumチームによる調査が開始され、オンチェーントラッカーが盗まれた資金をArbitrumからEthereumへ追跡しました。攻撃者はその後、得た資金を12,467.5 ETHに変換しました。

AFXは永続契約取引向けに独自のソブリンLayer 1を運営しており、Arbitrumを経由してUSDCの入金を受け付けています。影響を受けたインフラはAFXが運営するサードパーティブリッジであり、Arbitrumのコアブリッジではありません。

AFXブリッジから2415万USDCが流出

Blockaidは7月22日午後9時30分（UTC）にエクスプロイトを検知したと発表しました。同社によれば、攻撃はAFXが運営するブリッジを標的とし、約2415万USDCが流出しました。

Arbiscanの記録によれば、午後9時30分25秒（UTC）にブリッジコントラクトから受信者アドレスに対して24,150,000 USDCの転送が正常に完了しています。

Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ , a protocol on @arbitrum . The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on… — Blockaid (@blockaid_) July 22, 2026

Blockaidは、Arbitrumチームと協力してインシデント対応、影響を受けたプロトコルへの連絡、盗まれた資金の封じ込め支援を行っていると述べました。公開時点で確認された情報に基づくと、資金の回収は確認されていません。

AFXは、攻撃者が資金引き出しの認可をどのように取得したかを説明する検証済みの技術的事後分析を発表しておらず、復旧計画も発表されていません。

Offchain Labsの共同創設者Steven Goldfederは、不審な取引がサードパーティプロトコルから発生したことを確認し、AFXのインシデントとArbitrum自身のブリッジインフラを明確に区別しました。

「Arbitrumでのブリッジハッキングの報告を認識しており、調査中です。問題の取引はサードパーティプロトコルから発生したものであり、Arbitrumのネイティブブリッジはいかなる方法でもハッキングやエクスプロイトの被害を受けていないことを確認できます」とGoldfederは述べました。

Goldfederは、チームが当該サードパーティプロトコルと連携し、情報が得られ次第、詳細を共有すると付け加えました。この区別は重要です。アプリケーションはArbitrum上で独自のコントラクトやブリッジを運営できますが、それらのシステムはArbitrumのネイティブブリッジの一部ではありません。

AFXはArbitrumをUSDC入金の経路として利用しつつ、専用のLayer 1上で取引システムを稼働させています。同プロトコルは、ソブリン実行環境を基盤として構築された分散型デリバティブプラットフォームと自称しています。最近のプロトコルの投稿では、ユーザーは永続契約市場にアクセスする前にArbitrumからUSDCを入金できると記載されていました。

攻撃者が盗んだUSDCをETHに変換

PeckShieldによれば、攻撃者は盗んだUSDCをArbitrumからEthereumに移動させ、得た資金を12,467.5 ETHに変換しました。Lookonchainは別途、攻撃者が資金移動後に平均価格約1ETH=1,937ドルで約12,467 ETHを購入したと報告しました。

#PeckShieldAlert @AFX_XYZ on #Arbitrum has been exploited for ~$24M USDC. The exploiter has bridged the stolen funds from #Abitrum to #Ethereum and swapped them for 12,467.5 $ETH , currently sitting in 0x6276…ebAC. pic.twitter.com/fUHFfEn1F5 — PeckShieldAlert (@PeckShieldAlert) July 23, 2026

この変換により、盗まれた価値は米ドルペッグのステーブルコインからEtherに移され、保有資産はETHの価格変動にさらされることになりました。セキュリティチームはスワップ後も資金の追跡を継続しました。

公開時点では、Circleが変換前にUSDCを凍結したことや、ETHのいずれかが回収されたことは確認されていません。

今回の攻撃は、今年発生したブリッジ関連のセキュリティインシデントの1つとして加わりました。crypto.newsが以前報じたように、Stake DAOは5月にArbitrumで不正な鋳造が発生した後、vsdCRVブリッジを閉鎖しました。同プロジェクトは、トークンのメインネット裏付けを保護し、インシデントを影響を受けたブリッジに限定して封じ込めたと発表しました。

さらに同年4月には、Kelp DAOのLayerZeroベースのブリッジがより大規模なエクスプロイトの被害に遭いました。攻撃者は約292百万ドル相当の約116,500 rsETHを流出させました。その後、資金がArbitrum Oneに移動した後、Arbitrumはその攻撃者に関連する30,000 ETH以上を凍結しました。

AFX運営インフラに焦点を当てる調査

現在の調査は、AFXが運営するブリッジと、2415万USDCの引き出し背後にある認可プロセスに集中しています。確認された取引はブリッジコントラクトが転送を完了したことを示していますが、公開声明ではまだ検証済みの根本原因は特定されていません。

完全な事後分析により、このインシデントが侵害されたバリデーター認証情報、不適切なアクセス制御、またはその他の脆弱性に関連するものであったかどうかが判明する可能性があります。主要な確認点は、エクスプロイトがArbitrumのネイティブブリッジではなく、AFXが運営するインフラに影響を与えたということです。

BlockaidとOffchain Labsはともに、初期対応でこの区別を明確にしました。Arbitrumネットワークは稼働を継続し、確認された報告によればネイティブブリッジからの損失はありませんでした。

このインシデントはAFXの入金インフラにも注目を集めています。同プロトコルは、取引プラットフォームへの入口としてArbitrumからのUSDC入金を推進してきました。入金、出金、ブリッジ運営に関する変更は、プロトコルの対応および継続中の調査次第となります。

本件は現在も展開中です。確認された損失は約2415万USDCであり、オンチェーントラッカーは盗まれた価値がEthereum上の約12,467 ETHに追跡されています。AFX、Blockaid、Arbitrumチームから、侵害の調査および攻撃者の資金追跡に関する追加情報が期待されています。