AFX Trade 是一個建構於 Arbitrum 上、以錨定美元的 USDC 結算的去中心化永續合約交易所。根據區塊鏈數據顯示，該交易所於週三因攻擊者入侵該協議營運的橋接器背後的驗證者簽署金鑰，被盜取約 2415 萬美元。

該事件是近期一系列針對鏈下元件而非智能合約漏洞的高調攻擊中的最新案例。在本案中，鏈上邏輯完全按設計運作——它驗證了簽章並執行了交易。問題出在產生這些簽章的私鑰上。

安全公司 Blockaid 於 2026-07-22 21:30 UTC 偵測到該漏洞攻擊，目標為 @AFX_XYZ，一個運行於 @arbitrum 上的協議。該攻擊專門針對 AFX 營運的橋接器。約 24.15M USDC 已從該協議中被抽走。

Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ, a protocol on @arbitrum. The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on… — Blockaid (@blockaid_) July 22, 2026

攻擊如何展開

該橋接器需要大約三分之二多數的驗證者簽章才能授權提款。攻擊者取得了足夠的私有驗證者簽署金鑰——即由橋接器營運者在鏈下持有的熱金鑰——以產生五個有效的熱驗證者簽章，達到了批准將 24,150,000 USDC 轉移至攻擊者錢包所需的門檻。

合約將該筆提款視為合法，並在 200 秒的爭議期後釋放資金。該時間窗口幾乎沒有留下任何人工干預或緊急暫停的餘地。Blockaid 確認鏈上邏輯未被繞過；橋接器完全按設計運作，但授權提款的金鑰落入了不當之人手中。

攻擊者隨後將被盜的 USDC 橋接至以太坊，並兌換為約 12,467 ETH，價值約 2400 萬美元。鏈上追蹤工具指出，這些資金目前存放於單一錢包中。轉換為 ETH 這一點值得注意，因為 USDC 發行方 Circle 在先前的事件中曾於合約層級凍結被盜代幣，但一旦資金以原生 ETH 形式持有，此一補救措施便無法適用。

鏈上交易數據證實了資金的流動。

Arbitrum 原生橋接器未受影響

Offchain Labs 共同創辦人 Steven Goldfeder——該公司負責開發與維護 Arbitrum——表示該網路的原生橋接器「未以任何方式遭到駭客攻擊或利用」，且該筆交易源自於一個第三方協議。

若 Arbitrum 自身的橋接器遭到入侵，將意味著整個第二層網路存在系統性風險。然而，運行於其上的協議遭到入侵則屬於可控範圍內的故障。橋接器是基於區塊鏈的工具，用於在原生不支援的網路之間轉移代幣。

時機與背景

此次事件的時機對 AFX 而言尤為致命。根據 DefiLlama 的數據，該協議的交易活動在攻擊發生前急劇攀升，每日永續合約交易量在七月中旬飆升至數月新高，隨著平台吸引新用戶，存款也隨之增加。被盜的約 2400 萬美元幾乎佔 AFX 總鎖定價值的全部——意味著攻擊者在金庫最滿的時刻幾乎將其清空。

該事件與四月份 Drift Protocol 約 2.85 億美元的損失有相似之處，在該事件中，攻擊者花了數月時間培養特權存取權限，而非破解任何智能合約。這兩起案例均突顯出，隨著經過審計的智能合約變得越來越難以攻破，攻擊者正將精力轉向營運安全漏洞——金鑰管理、預言機操縱以及對特權內部人員的社交工程攻擊。

此次損失發生於加密貨幣安全形勢嚴峻的時期。根據 Hacken 的 Q2 安全報告，2026 年第二季度是史上駭客攻擊最嚴重的季度之一，而一系列基於 Arbitrum 的協議接連遭受攻擊。就在一週前，一次預言機攻擊從 RWA 平台 Ostium 抽走了另外 1800 萬美元。今年大多數的駭客攻擊與漏洞利用均針對鏈下元件，而非智能合約本身的漏洞。