AFX потерял $24.15 млн в USDC после того, как 22 июля атакующий нацелился на кроссчейн-мост, связанный с торговым протоколом, при этом нативный мост Arbitrum не пострадал.

Инцидент привел к расследованию со стороны Blockaid и команды Arbitrum, тогда как ончейн-трекеры проследили движение украденных средств из Arbitrum в Ethereum. Позднее злоумышленник конвертировал вырученные средства в 12,467.5 ETH.

AFX управляет собственным суверенным Layer 1 для торговли бессрочными контрактами и принимает депозиты в USDC через Arbitrum. Затронутая инфраструктура представляла собой сторонний мост, управляемый AFX, а не основной мост Arbitrum.

Мост AFX потерял $24.15 млн в USDC

Blockaid сообщила, что обнаружила эксплойт в 9:30 p.m. UTC 22 июля. По данным компании по безопасности, атака была направлена на мост, управляемый AFX, и привела к выводу около 24.15 млн USDC.

Запись в Arbiscan показывает успешный перевод 24,150,000 USDC из контракта моста на адрес получателя в 9:30:25 p.m. UTC.

Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ , a protocol on @arbitrum . The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on… — Blockaid (@blockaid_) July 22, 2026

Blockaid заявила, что работает с командой Arbitrum над реагированием на инцидент, контактом с затронутым протоколом и содействием в сдерживании украденных средств. Согласно публичным обновлениям, изученным на момент публикации, возврат средств не был подтвержден.

AFX не опубликовал подтвержденный технический постмортем с объяснением того, как атакующий получил авторизацию на вывод средств, и протокол не объявлял план восстановления.

Сооснователь Offchain Labs Стивен Голдфедер подтвердил, что подозрительная транзакция исходила от стороннего протокола, и отделил инцидент AFX от собственной инфраструктуры моста Arbitrum.

«Мы знаем о сообщении о взломе моста на Arbitrum и проводим расследование. Мы можем подтвердить, что рассматриваемая транзакция исходила от стороннего протокола, а нативный мост Arbitrum не был взломан или эксплуатирован каким-либо образом», — сказал Голдфедер.

Голдфедер добавил, что команда будет координировать действия со сторонним протоколом и поделится дополнительными деталями, когда они станут доступны. Это разграничение важно, поскольку приложения могут запускать собственные контракты и мосты на Arbitrum, не являющиеся частью нативного моста Arbitrum.

AFX использует Arbitrum как маршрут для депозитов в USDC, при этом его торговая система работает на выделенном Layer 1. Протокол описывает себя как децентрализованную платформу деривативов, построенную вокруг суверенной среды исполнения. В недавнем сообщении протокола также говорилось, что пользователи могут вносить USDC из Arbitrum перед доступом к его рынкам бессрочных контрактов.

Злоумышленник конвертировал украденные USDC в ETH

PeckShield сообщила, что атакующий перевел украденные USDC из Arbitrum в Ethereum и конвертировал вырученные средства в 12,467.5 ETH. Lookonchain отдельно сообщила, что злоумышленник купил около 12,467 ETH по средней цене около $1,937 за ETH после перемещения средств.

#PeckShieldAlert @AFX_XYZ on #Arbitrum has been exploited for ~$24M USDC. The exploiter has bridged the stolen funds from #Abitrum to #Ethereum and swapped them for 12,467.5 $ETH , currently sitting in 0x6276…ebAC. pic.twitter.com/fUHFfEn1F5 — PeckShieldAlert (@PeckShieldAlert) July 23, 2026

Конвертация перевела украденную стоимость из стейблкоина, привязанного к доллару США, в Ether, тем самым подвергнув активы колебаниям цены ETH. Команды безопасности продолжили отслеживать средства после обмена.

На момент публикации изученные источники не подтвердили, что Circle заморозила USDC до конвертации или что какая-либо часть ETH была возвращена.

Атака дополнила ряд связанных с мостами инцидентов безопасности в этом году. Как ранее сообщал crypto.news, Stake DAO закрыл свой мост vsdCRV после несанкционированного минта на Arbitrum в мае. Проект заявил, что обеспечил backing токена в mainnet и локализовал инцидент в пределах затронутого моста.

Ранее, в апреле, более крупный эксплойт затронул мост Kelp DAO на базе LayerZero. Атакующие вывели примерно 116,500 rsETH стоимостью около $292 млн. Позднее Arbitrum заморозил более 30,000 ETH, связанных с этим атакующим, после того как средства были переведены на Arbitrum One.

Расследование сосредоточено на инфраструктуре, управляемой AFX

Расследование теперь сосредоточено на мосте, управляемом AFX, и процессе авторизации, стоявшем за выводом 24.15 млн USDC. Подтвержденная транзакция показывает, что контракт моста завершил перевод, однако публичные заявления пока не установили подтвержденную первопричину.

Полный постмортем может определить, был ли инцидент связан с компрометацией учетных данных валидаторов, ошибочными механизмами контроля доступа или другой слабостью. Основной подтвержденный факт заключается в том, что эксплойт затронул инфраструктуру, управляемую AFX, а не нативный мост Arbitrum.

Blockaid и Offchain Labs четко обозначили это различие в своих первоначальных ответах. Сеть Arbitrum продолжила работу, а изученные отчеты не показали потерь в ее нативном мосте.

Инцидент также привлекает внимание к депозитной инфраструктуре AFX. Протокол продвигал депозиты USDC из Arbitrum как входной маршрут на свою торговую платформу. Любые изменения в депозитах, выводах средств или работе моста будут зависеть от реакции протокола и продолжающегося расследования.

Ситуация продолжает развиваться. Подтвержденный ущерб составляет около $24.15 млн в USDC, тогда как ончейн-трекеры проследили украденную стоимость примерно до 12,467 ETH в Ethereum. Ожидаются дальнейшие обновления от AFX, Blockaid и команды Arbitrum по мере изучения взлома и отслеживания средств атакующего.