Trzy odrębne exploity wymierzone w mosty kryptowalutowe wyprowadziły w ciągu jednego dnia ponad $35,6 mln z głównych protokołów DeFi, uderzając w AFX Trade, BSquared Network i VerusCoin. Ataki ujawniły utrzymujące się luki bezpieczeństwa w infrastrukturze mostów cross-chain, a atakujący przenieśli już większość skradzionych środków.

Śledczy blockchainowi wskazali, że każdy exploit wykorzystał odmienny wektor ataku, co nasiliło obawy dotyczące bezpieczeństwa mostów w całym ekosystemie zdecentralizowanych finansów. Mosty cross-chain należą od 2022 r. do najczęściej atakowanych kategorii infrastruktury DeFi, a skumulowane straty z exploitów mostów liczone są w miliardach dolarów, ponieważ blokują one duże pule aktywów na jednym łańcuchu, aby emitować ich reprezentacje na innym — tworząc skoncentrowany cel, który atakujący wielokrotnie testują pod kątem błędów w logice podpisów, zarządzaniu kluczami walidatorów i weryfikacji kontraktów.

Most AFX traci $24,2 mln

Największy z trzech ataków był wymierzony w most AFX na Arbitrum, skąd atakujący ukradli 24,15 mln USDC o wartości około $24,2 mln.

Według firmy Blockaid zajmującej się bezpieczeństwem blockchaina most zatwierdził fałszywą wypłatę przy użyciu pięciu z siedmiu podpisów w swoim systemie walidatorów, co sugeruje, że atakujący mogli przejąć klucze walidatorów lub uzyskać dostęp do zaplecza infrastruktury mostu.

Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ, a protocol on @arbitrum. The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on…
— Blockaid (@blockaid_) July 22, 2026

Po kradzieży środków atakujący szybko przeniósł USDC z Arbitrum na Ethereum. Zespół AFX poinformował, że współpracuje z zespołem Arbitrum oraz firmami bezpieczeństwa w celu zbadania exploitu i prześledzenia skradzionych środków.

BSquared Network traci niemal $3,9 mln w ataku na token B2

Drugi atak był wymierzony w BSquared Network, gdzie hakerzy ukradli 8,59 mln tokenów B2 wycenianych na około $3,86 mln.

Atakujący natychmiast sprzedał skradzione tokeny B2 za 5 409 BNB o wartości około $3,01 mln. Następnie środki przeniesiono mostem na Ethereum, zamieniono na ETH i USDT, a później przeprowadzono przez NEAR Intents oraz HOT Protocol, aby utrudnić ich śledzenie.

Zespoły bezpieczeństwa nadal monitorują portfel, a dochodzenie pozostaje w toku.

VerusCoin ponownie zaatakowany po powrocie starego błędu mostu

Most Ethereum projektu VerusCoin padł ofiarą trzeciego ataku, tracąc aktywa o wartości $7,54 mln, w tym Ether (ETH), tokenizowany Bitcoin (tBTC), USDC, USDT, DAI oraz kilka innych tokenów.

Według SlowMist atak ponownie wykorzystał ten sam błąd kontraktu w ścieżce importu, który hakerzy wykorzystali podczas odrębnego ataku o wartości $11,5 mln w maju 2026 r. Podatność pozwoliła atakującemu wywołać niewspierane wypłaty, co oznacza, że most wydał aktywa bez sprawdzenia, czy transakcje były pokryte wystarczającymi środkami.

Po opróżnieniu mostu atakujący zamienił skradzione aktywa na 3 916 ETH o wartości około $7,5 mln, a następnie wysłał środki do Tornado Cash, opartej na Ethereum usługi miksującej objętej sankcjami Biura Kontroli Aktywów Zagranicznych Departamentu Skarbu USA od sierpnia 2022 r., co znacząco komplikuje działania zmierzające do odzyskania środków.