Эксплойт моста AFX вывел $24,15 млн в USDC, злоумышленник конвертировал украденные средства в Ethereum
Ключевые выводы
- •Кроссчейн-мост AFX был скомпрометирован 22 июля 2026 года, что привело к потере 24,15 млн USDC из контракта моста протокола.
- •Атака была ограничена сторонним мостом, управляемым AFX, и не затронула нативную инфраструктуру моста Arbitrum, которая остается полностью работоспособной.
- •Злоумышленник перевел украденные USDC в Ethereum и конвертировал средства примерно в 12 467,5 ETH по средней цене $1 937 за ETH, чтобы снизить риск потенциальной заморозки активов.
- •Блокчейн-компании по безопасности Blockaid и PeckShield, а также сооснователь Offchain Labs Steven Goldfeder подтвердили, что расследование продолжается, но активы не возвращены, а AFX не выпустила заявление о первопричине инцидента.
- •Инцидент последовал за другими крупными эксплойтами кроссчейн-мостов в 2026 году, включая потери моста LayerZero от Kelp DAO в размере примерно 116 500 rsETH стоимостью около $292 млн.
Эксплойт, нацеленный на кроссчейн-мост, управляемый AFX, привел к потере 24,15 млн USDC 22 июля 2026 года. Взлом затронул инфраструктуру, находящуюся под управлением AFX, суверенной сети Layer 1 для децентрализованной торговли бессрочными контрактами, которая использует Arbitrum как точку входа для депозитов через сторонний мост, — а не нативный мост Arbitrum, который продолжает работать в штатном режиме.
Блокчейн-компания по безопасности Blockaid обнаружила эксплойт в 21:30 UTC 22 июля 2026 года. Целью был @AFX_XYZ, протокол в сети @arbitrum. Логи Arbiscan показали перевод 24 150 000 USDC с контракта моста на адрес, контролируемый злоумышленником.
Blockaid заявила, что ее команда работала совместно с Arbitrum и AFX над оценкой ситуации. На момент публикации возврата активов не произошло, а AFX не выпустила заявления о причине эксплойта.
Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ, a protocol on @arbitrum. The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on… — Blockaid (@blockaid_) July 22, 2026
Расследование продолжается
Steven Goldfeder, сооснователь Offchain Labs, уточнил, что подозрительная транзакция исходила из стороннего протокола, а не из нативного моста Arbitrum. Он подтвердил, что команда сотрудничает с AFX в рамках расследования и что дополнительные подробности появятся по мере его продвижения.
По данным блокчейн-компании по безопасности PeckShield, злоумышленник перевел украденные USDC из Arbitrum в Ethereum, прежде чем конвертировать вырученные средства в 12 467,5 ETH. Ончейн-аналитический аккаунт Lookonchain сообщил, что ETH были приобретены по средней цене примерно $1 937 за ETH. Конвертировав средства из стейблкоина, эмитент которого может замораживать балансы на уровне смарт-контракта, в нативный криптоактив вроде ETH, злоумышленник снизил вероятность централизованной заморозки и усложнил перехват средств по следу транзакций.
Безопасность кроссчейн-мостов снова под пристальным вниманием
Эксплойт AFX произошел на фоне серии инцидентов безопасности, связанных с кроссчейн-мостами в децентрализованных финансах. Исторически мосты относятся к числу наиболее часто эксплуатируемых компонентов DeFi, поскольку они хранят крупные пулы заблокированных активов в одной сети и выпускают соответствующие представления в другой, создавая концентрированную цель, компрометация которой может дать немедленный доступ к значительным средствам. Ранее в этом году Stake DAO была вынуждена закрыть свой мост vsdCRV после несанкционированного выпуска в Arbitrum. Отдельно мост LayerZero от Kelp DAO потерял примерно 116 500 rsETH стоимостью около $292 млн.
Атака подчеркивает операционное различие между блокчейн-сетью и сторонними приложениями, построенными поверх нее. В данном случае потери ограничены инфраструктурой моста AFX, а не самой сетью Arbitrum. Тем не менее инцидент вновь поднимает вопросы о протоколах кроссчейн-безопасности, механизмах авторизации мостов и операционных процедурах, регулирующих децентрализованные мостовые системы.