攻擊者在取得熱驗證者簽章以授權大規模提款後，從基於 Arbitrum 的平台 AFX Trade 中提取了 2415 萬枚 USDC，根據原始報導。安全公司將此次攻擊追溯到與 AFX Trade 團隊營運的外部橋接相關的洩露金鑰，而非 Arbitrum 第二層核心基礎設施的任何缺陷。

Arbitrum 迅速確認其原生橋接未受影響。這一區別至關重要，因為由專案團隊獨立建置、用於將基於以太坊的應用程式連接至 L2 網路的自訂橋接，通常依賴較小的驗證者集合，增加了金鑰洩露攻擊的可行性。在此次事件中，攻擊者累積了足夠的有效簽章，在不觸發標準安全閾值的情況下將資金移出平台。

驗證者簽章漏洞

外部橋接通常使用多重簽章或權威證明模型，其中一定數量的金鑰需要批准轉帳。安全研究人員判定，AFX Trade 案件的攻擊向量源自不當的金鑰管理，而非智慧型合約缺陷。USDC 資金在單筆交易中被提取，而通常這需要多重獨立審批。

此次事件凸顯了跨鏈基礎設施長期存在的弱點。橋接一直是網路之間最脆弱的連接點，橋接攻擊的累計損失現已超過 25 億美元，包括 Ronin（約 6.25 億美元）、Wormhole（約 3.26 億美元）和 Nomad（約 1.9 億美元）等事件。這些案件始終涉及治理或驗證者金鑰的洩露。AFX Trade 案件與眾不同之處在於其與 Arbitrum 自身安全架構的明確分離，這可能使更廣泛的生態系統免受直接蔓延影響。

雖然 Arbitrum 已憑藉開發者活動穩居頂級區塊鏈之列，但建構於其可擴展層之上的第三方橋接日益增多，引入了核心協議無法完全消除的風險。LayerZero、Wormhole 和 Across 等主要跨鏈協議已嘗試透過多方運算、樂觀驗證或更大的去中心化驗證者集合來應對這些風險，但尚未出現被普遍採用的安全基準。

未解之謎

有關最初金鑰洩露的細節仍然有限。目前尚不清楚攻擊是源於釣魚攻擊、內部威脅還是基礎設施入侵。鏈上調查人員正在積極追蹤被盜 USDC 的流動。Circle 作為 USDC 的發行方，具有在特定地址凍結代幣的技術能力——這一機制在先前事件中曾因執法機構的正式指令而啟用——但目前尚未宣布任何凍結措施，資金可能已透過混幣器或其他混淆工具轉移。

缺乏即時可恢復性可能會令透過相對不知名的橋接提供流動性的用戶感到擔憂。對於 Arbitrum DeFi 生態系統中的交易者和流動性提供者而言，此次事件重新浮現了一個眾所周知的權衡：較新橋接的速度和可組合性優勢往往伴隨著降低的安全保障。

對第二層安全的更廣泛影響

AFX Trade 的損失發生於機構對以太坊擴容方案的興趣日益高漲、安全保證越來越被用作競爭差異化要素之際。Arbitrum 迅速與此次攻擊保持距離——重申其原生橋接的完整性——表明主要的 L2 團隊深切意識到橋接攻擊可能造成的聲譽損害，即使他們在技術上並無責任。

儘管如此，受影響用戶面臨的實際結果與任何橋接盜竊案相同：代幣消失以及對追索權的不確定性。此次事件並不意味著 Arbitrum 作為網路存在系統性風險，但它強化了 DeFi 參與者在評估部署於主要 rollup 之上的任何應用程式的託管鏈時必須保持的謹慎。隨著特定應用和應用鏈部署在 L2 上不斷增加，獨立營運的橋接數量可能會持續增長，攻擊面的擴展速度將快於正式審計或保險覆蓋範圍的擴展速度。

後續發展將取決於鑑識調查結果，以及攻擊者是否留下可將錢包活動與已知實體關聯的痕跡。目前，熱驗證者簽章的洩露是持續努力保障跨鏈訊息層安全而又不重新引入中心化故障點的又一個案例。