AFX Trade, een gedecentraliseerde perpetuals-beurs op Arbitrum die vereffent in USDC, werd woensdag voor 24,15 miljoen dollar geplunderd bij een exploit gericht op een USDC-custody bridge die door het protocol zelf wordt beheerd, aldus beveiligingsbedrijf Blockaid.

De beurs bevestigde het incident en meldde dat de exacte aanvalsvector nog wordt onderzocht. On-chain analysebureau PeckShield rapporteerde dat de aanvaller het gestolen USDC naar Ethereum overbracht en omruilde voor 12.468 ETH, dat momenteel in één enkele wallet wordt vastgehouden. De transactie kan worden bekeken op Arbiscan.

Cross-chain bridges behoren al lang tot de meest getroffen onderdelen in de gedecentraliseerde financiële sector, omdat ze grote hoeveelheden activa onder beheer of via smart contracts poolen om overdrachten tussen netwerken mogelijk te maken. Belangrijke bridge-exploits zijn onder meer de inbreuk op het Ronin Network van 625 miljoen dollar in 2022 en de aanval op Wormhole van 326 miljoen dollar in hetzelfde jaar.

AFX bracht een openbare verklaring uit op X:

AFX is aware of an incident involving the AFX-operated USDC custody bridge on Arbitrum. Upon detecting the incident, we immediately suspended bridge operations and initiated our incident response procedures. Our engineering and security teams are actively investigating the root…

— AFX Trade (@AFX_XYZ) July 23, 2026

Arbitrum-medeaichter Steven Goldfeder nam snel afstand tussen het layer-2-netwerk en het incident, en stelde dat de native bridge van Arbitrum "op geen enkele manier is gehackt of geëxploiteerd" en dat de transactie afkomstig was van een protocol van een derde partij. Een inbreuk op de eigen bridge van Arbitrum zou verstrekkende gevolgen hebben voor het hele layer-2-ecosysteem, terwijl een gecompromitteerde applicatie daarbovenop een geïsoleerde fout vormt.

AFX onderschreef die beoordeling en meldde dat de schade "beperkt leek tot de door AFX beheerde custody bridge." De beurs merkte op dat noch de handelsinfrastructuur en mainnet, noch het Arbitrum-netwerk zelf was gecompromitteerd. Het bedrijf voegde eraan toe dat het samenwerkte met ecosysteempartners en beveiligingsbedrijven om de gestolen activa te traceren.

Uren later bood Ken C, hoofd groei bij AFX, de aanvaller openlijk een deal aan: geef 70% van het gestolen geld terug en houd de resterende 30% als een "white hat-bounty." Dergelijke oproepen zijn een terugkerende tactiek geworden bij crypto-exploits, deels omdat eens gestolen activa te zijn omgezet naar ETH en in een self-custody wallet worden vastgehouden, de kans op terugvordering via juridische of technische middelen uiterst beperkt is. In april deed het op Solana gebaseerde Drift Protocol een soortgelijk gebaar na een hack van 285 miljoen dollar.

De diefstal komt boven op een al schadelijk jaar voor DeFi, dat in 2026 meer dan 840 miljoen dollar aan hacks heeft verloren. Het incident volgt ook slechts een week nadat de gelijksoortige Arbitrum-perpetuals-beurs Ostium voor 18 miljoen dollar werd geplunderd via een gecompromitteerde orakelsleutel, wat de specifieke kwetsbaarheid van hefboomhandelsprotocollen op Arbitrum voor aanvallen op infrastructuurniveau onderstreept.