Een bridge die wordt beheerd door het gedecentraliseerde derivatenplatform AFX Trade verloor woensdag 24,15 miljoen USDC nadat een ongeautoriseerde opname het validator-goedkeuringsproces en de geschilprocedure had doorlopen.

Blockaid detecteerde de exploit rond 21:30 UTC op 22 juli. In een bericht op X zei het beveiligingsbedrijf dat de getroffen infrastructuur door AFX werd beheerd en dat het samenwerkte met Arbitrum-bijdragers om contact op te nemen met het protocol en de gestolen fondsen in te dammen: https://x.com/blockaid_/status/2080080240265621680

Vóór de transactie hield de bridge ongeveer $24,2 miljoen aan USDC aan. Door de opname bleef er weinig stablecoin-liquiditeit over in de bridge.

Voorlopige onchain-analyse wees uit dat handtekeningen die waren gekoppeld aan vijf hot validators de overdracht van 24.150.000 USDC goedkeurden. Die handtekeningen vertegenwoordigden 7.142 van de 10.000 validator-power units van de bridge, waarmee de drempel van twee derde werd overschreden die nodig is om een opname te autoriseren.

Validator-gebaseerde bridges vertrouwen doorgaans op een quorum van ondertekenaars en een challenge-periode om ongeautoriseerde overdrachten te voorkomen voordat activa worden vrijgegeven. In dit geval doorliep het verzoek vervolgens een geschilvenster van ongeveer 200 seconden voordat het bridgecontract de fondsen vrijgaf. Op het moment van publicatie had AFX nog geen technische postmortem uitgebracht waarin werd bevestigd of validatorsleutels waren gestolen, ondertekenaars waren gecompromitteerd, of dat een andere zwakte in de autorisatie de transactie mogelijk maakte.

Aanvaller zet USDC om in 12.467 ETH

De aanvaller verplaatste de USDC van Arbitrum naar Ethereum via Circle’s Cross-Chain Transfer Protocol en wisselde de fondsen vervolgens om voor ongeveer 12.467 ETH.

Volgens Lookonchain lag de gemiddelde aankoopprijs rond $1.937 per ETH: https://x.com/lookonchain/status/2080092059252486487. De omgezette activa waren ongeveer $24,15 miljoen waard toen de swaps waren voltooid.

Steven Goldfeder, CEO van Offchain Labs, zei dat de transactie afkomstig was van een protocol van een derde partij en dat Arbitrum’s native bridge niet was gehackt of geëxploiteerd: https://x.com/sgoldfed/status/2080071210847674709. Dat onderscheid is relevant omdat Arbitrum’s basisinfrastructuur voor bridging en onafhankelijke bridges op applicatieniveau afzonderlijke beveiligingsmodellen, operators en risicobeheersmaatregelen hebben. Het Arbitrum-team begon met het getroffen project te coördineren terwijl het de opname onderzocht.

AFX had op het moment van publicatie nog geen herstelovereenkomst, compensatieproces of definitieve verklaring voor de validator-goedkeuringen aangekondigd.

Bridge-exploits vergroten DeFi-verliezen van de week

De opname bij AFX volgde op verschillende andere aanvallen die in dezelfde week werden gemeld, waardoor cross-chain-systemen en de offchain-componenten die veel daarvan gebruiken om overdrachten goed te keuren, extra onder de loep kwamen te liggen. Balance Coin stortte in na een oracle-exploit van $915.000 bij 42DAO op 22 juli, toen een gemanipuleerde BTCB-prijs liquidaties en de uitgifte van onvoldoende gedekte BLC veroorzaakte.

Wanchain schakelde zijn Cardano-BNB Chain-bridge uit nadat 515 miljoen NIGHT uit zijn treasury was verdwenen via transacties die verband hielden met een vermoedelijke fout rond hergebruik van handtekeningen.

Allbridge Core pauzeerde ook zijn activiteiten nadat een Solana flash-loan-exploit van $1,65 miljoen de prijsstelling in zijn stablecoin-pool had gemanipuleerd.