Drie afzonderlijke cryptobridge-exploits hebben op één dag meer dan $35,6 miljoen van grote DeFi-protocollen weggevaagd, waarbij AFX Trade, BSquared Network en VerusCoin werden getroffen. De aanvallen brachten aanhoudende beveiligingskwetsbaarheden in de cross-chain-bridge-infrastructuur aan het licht, en de aanvallers hebben het grootste deel van de gestolen fondsen al verplaatst.

Blockchainonderzoekers merkten op dat elke exploit een verschillend aanvalsvector volgde, wat de bezorgdheid over bridge-beveiliging in het hele ecosysteem van gedecentraliseerde financiën vergroot. Cross-chain bridges behoren sinds 2022 tot de meest belaagde categorieën van DeFi-infrastructuur, met cumulatieve verliezen door bridge-exploits in de miljarden dollars, omdat ze grote hoeveelheden activa op de ene blockchain blokkeren om representaties op een andere te minten — wat een geconcentreerde honeypot creëert die aanvallers herhaaldelijk onderzoeken op zwakke plekken in handtekeningslogica, validatorsleutelbeheer en contractverificatie.

AFX-bridge verliest $24,2 miljoen

De grootste van de drie hacks was gericht op de bridge van AFX op Arbitrum, waar aanvallers 24,15 miljoen USDC stalen, ter waarde van ongeveer $24,2 miljoen.

Volgens blockchainbeveiligingsbedrijf Blockaid keurde de bridge de frauduleuze opname goed met vijf van de zeven handtekeningen uit het validatorsysteem, wat suggereert dat de aanvallers mogelijk validatorsleutels hebben gecompromitteerd of toegang hebben gekregen tot de backend-infrastructuur van de bridge.

Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ, a protocol on @arbitrum. The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on…
— Blockaid (@blockaid_) July 22, 2026

Na de diefstal van de fondsen verplaatste de aanvaller de USDC snel van Arbitrum naar Ethereum. Het AFX-team verklaarde dat het samenwerkt met het Arbitrum-team en beveiligingsbedrijven om de exploit te onderzoeken en de gestolen fondsen te traceren.

BSquared Network verliest bijna $3,9 miljoen in B2-token-hack

De tweede aanval was gericht op het BSquared Network, waar hackers 8,59 miljoen B2-tokens stalen, ter waarde van ongeveer $3,86 miljoen.

De aanvaller verkocht de gestolen B2-tokens onmiddellijk voor 5.409 BNB, ter waarde van ongeveer $3,01 miljoen. De fondsen werden vervolgens naar Ethereum overgebracht, omgezet in ETH en USDT, en daarna via NEAR Intents en HOT Protocol gerouteerd om tracering te bemoeilijken.

Beveiligingsteams blijven de portemonnee monitoren nu het onderzoek nog loopt.

VerusCoin opnieuw getroffen terwijl oude bridge-bug terugkeert

De VerusCoin Ethereum-bridge werd slachtoffer van de derde aanval, met een verlies van $7,54 miljoen aan activa, waaronder Ether (ETH), getokeniseerde Bitcoin (tBTC), USDC, USDT, DAI en diverse andere tokens.

Volgens SlowMist maakte de aanval opnieuw gebruik van dezelfde import path-contractbug die hackers eerder hadden uitgebuit bij een afzonderlijke hack van $11,5 miljoen in mei 2026. De kwetsbaarheid stelde de aanvaller in staat om ongedekte uitbetalingen te genereren, wat betekent dat de bridge activa vrijgaf zonder te verifiëren of er voldoende fondsen achter de transacties stonden.

Na het leeghalen van de bridge zette de aanvaller de gestolen activa om in 3.916 ETH, ter waarde van ongeveer $7,5 miljoen, voordat de fondsen naar Tornado Cash werden gestuurd, een op Ethereum gebaseerde mixingservice die sinds augustus 2022 door het Office of Foreign Assets Control van de Amerikaanse overheid is gesanctioneerd, wat het terugkrijgen van de fondsen aanzienlijk bemoeilijkt.