7 月 22 日，攻击者针对与交易协议 AFX 相关的一座跨链桥发起攻击，导致 AFX 损失 2,415 万美元 USDC，而 Arbitrum 的原生桥未受影响。

该事件促使 Blockaid 和 Arbitrum 团队展开调查，链上追踪方则跟踪被盗资金从 Arbitrum 流向 Ethereum。攻击者随后将所得资金兑换为 12,467.5 ETH。

AFX 运营自己的主权 Layer 1 用于永续合约交易，并通过 Arbitrum 接受 USDC 存款。受影响的基础设施是由 AFX 运营的第三方桥，而不是 Arbitrum 的核心桥。

AFX 跨链桥损失 2,415 万美元 USDC

Blockaid 表示，其在 7 月 22 日 UTC 时间晚上 9:30 发现了该漏洞利用。根据这家安全公司的说法，攻击目标是 AFX 运营的一座桥，并从中抽走约 2,415 万 USDC。

Arbiscan 记录显示，UTC 时间晚上 9:30:25，桥合约向接收地址成功转出 24,150,000 USDC。

Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ , a protocol on @arbitrum . The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on… — Blockaid (@blockaid_) July 22, 2026

Blockaid 表示，其正与 Arbitrum 团队合作应对该事件，联系受影响协议并帮助控制被盗资金。根据发稿时已审阅的公开更新，尚未确认有资金被追回。

AFX 尚未发布经验证的技术复盘来解释攻击者如何获得提款授权，该协议也尚未宣布追回计划。

Offchain Labs 联合创始人 Steven Goldfeder 确认，可疑交易来自一个第三方协议，并将 AFX 事件与 Arbitrum 自身的桥基础设施作了区分。

“我们注意到有关 Arbitrum 上一座桥遭黑客攻击的报告，并正在调查。我们可以确认，相关交易源自一个第三方协议，Arbitrum 原生桥没有以任何方式遭到黑客攻击或被利用，”Goldfeder 表示。

Goldfeder 补充说，团队将与该第三方协议协调，并在有更多细节时公布。这一区分很重要，因为应用可以在 Arbitrum 上运营自己的合约和桥，而这些系统并不属于 Arbitrum 原生桥的一部分。

AFX 将 Arbitrum 用作 USDC 存款通道，同时在专用 Layer 1 上运行其交易系统。该协议称自己是一个围绕主权执行环境构建的去中心化衍生品平台。该协议近期的一篇帖子还表示，用户可以先从 Arbitrum 存入 USDC，再访问其永续市场。

攻击者将被盗 USDC 兑换为 ETH

PeckShield 表示，攻击者将被盗 USDC 从 Arbitrum 转移至 Ethereum，并将所得资金兑换为 12,467.5 ETH。Lookonchain 另行报告称，攻击者在转移资金后以接近每枚 ETH 1,937 美元的均价购买了约 12,467 ETH。

#PeckShieldAlert @AFX_XYZ on #Arbitrum has been exploited for ~$24M USDC. The exploiter has bridged the stolen funds from #Abitrum to #Ethereum and swapped them for 12,467.5 $ETH , currently sitting in 0x6276…ebAC. pic.twitter.com/fUHFfEn1F5 — PeckShieldAlert (@PeckShieldAlert) July 23, 2026

这次兑换将被盗价值从与美元挂钩的稳定币转为 Ether，使这些持仓暴露于 ETH 价格波动之中。安全团队在兑换后继续追踪资金。

截至发稿时，已审阅来源尚未确认 Circle 是否在兑换前冻结了 USDC，也未确认任何 ETH 已被追回。

此次攻击为今年多起与跨链桥相关的安全事件再添一例。据 crypto.news 此前报道，Stake DAO 在 5 月 Arbitrum 上发生未经授权铸造后关闭了其 vsdCRV 桥。该项目表示，其已确保该代币在主网的背书安全，并将事件控制在受影响的桥范围内。

更早的 4 月，Kelp DAO 由 LayerZero 支持的桥遭遇更大规模漏洞利用。攻击者抽走约 116,500 rsETH，价值约 2.92 亿美元。随后，在这些资金转入 Arbitrum One 后，Arbitrum 冻结了与该攻击者相关的超过 30,000 ETH。

调查聚焦 AFX 运营的基础设施

目前调查重点转向 AFX 运营的桥，以及 2,415 万 USDC 提款背后的授权流程。已确认交易显示，桥合约完成了转账，但公开声明尚未确定经验证的根本原因。

完整复盘可能会确定该事件是否涉及验证者凭证被攻破、访问控制缺陷或其他弱点。目前主要已确认的一点是，该漏洞利用影响的是 AFX 运营的基础设施，而不是 Arbitrum 原生桥。

Blockaid 和 Offchain Labs 在最初回应中都明确作出了这一区分。Arbitrum 网络继续运行，已审阅报告显示其原生桥没有损失。

该事件也使 AFX 的存款基础设施受到关注。该协议此前将来自 Arbitrum 的 USDC 存款宣传为进入其交易平台的入口路径。存款、提款或桥运营方面的任何变化，都将取决于该协议的回应和正在进行的调查。

该事件仍在发展中。已确认损失约为 2,415 万美元 USDC，链上追踪方已将被盗价值追踪至 Ethereum 上约 12,467 ETH。预计 AFX、Blockaid 和 Arbitrum 团队将在审查此次漏洞并追踪攻击者资金时发布进一步更新。