Согласно информации Forklog, 22 июля 2026 года проект AFX Trade сообщил о проблеме с мостом между сетью Arbitrum и своим блокчейном для торговли фьючерсами. Команда немедленно приостановила работу моста и инициировала расследование с привлечением внешних специалистов по безопасности после выявления подозрительной активности.
Суть инцидента
22 июля в 21:30 по UTC из смарт-контракта моста AFX было выведено 24 150 000 USDC — практически все средства, находившиеся в контракте на момент атаки. Первой подозрительную транзакцию зафиксировала компания по блокчейн-безопасности Blockaid.
После вывода средств из Arbitrum они были переведены в сеть Ethereum и обменены на примерно 12 467 ETH по средней цене около $1937 за токен. Общий ущерб составил более $24 млн.
В официальном заявлении AFX Trade подчеркивается, что инфраструктура торговой платформы, её мейннет и сеть Arbitrum не пострадали. Инцидент затронул лишь отдельный мост для внесения средств через Arbitrum.
Механизм атаки
Как сообщает издание CoinDesk, злоумышленник не взламывал логику смарт-контракта напрямую. Вместо этого вывод средств был одобрен пятью подписями валидаторов с использованием горячих ключей, что оказалось достаточным для достижения кворума около двух третей, предусмотренного протоколом моста.
По истечении 200-секундного периода оспаривания контракт автоматически признал запрос легитимным и выпустил $24,15 млн USDC. Компания Blockaid отметила, что именно подписи валидаторов стали ключевым элементом атаки.
Стивен Голдфедер, сооснователь Offchain Labs (разработчика Arbitrum), подтвердил, что нативный мост Arbitrum не был взломан. Инцидент затронул исключительно сторонний мост, созданный AFX Trade для своих нужд.
Расследование инцидента
К расследованию привлечены аналитики компании SlowMist, которые отслеживают перемещение украденных средств. На момент последнего обновления активы оставались на адресе злоумышленника без дальнейших движений.
Информация о кошельке злоумышленника была передана в Альянс криптозащиты (Crypto Defense Alliance, CDA) — объединение бирж и других участников криптоиндустрии для координации действий при инцидентах безопасности. Также к работе подключилась компания Zellic, ранее проводившая аудит кода моста AFX.
Команда AFX Trade заявила, что сосредоточена на защите пользователей и возврате украденных активов. Расследование точного вектора атаки продолжается.
Последствия для российских инвесторов
Инцидент с AFX Trade служит очередным напоминанием о рисках использования мостов между блокчейнами, особенно новых и малопроверенных. Для пользователей из России, активно работающих с Arbitrum через такие биржи, как Bybit, MEXC или OKX, важно диверсифицировать способы хранения средств.
Если вы торгуете фьючерсами через DEX-протоколы, обязательно проверяйте историю аудитов смарт-контрактов и не храните крупные суммы на кастодиальных мостах. Для значительных сумм используйте холодные кошельки или проверенные централизованные биржи с лицензиями. При обмене криптовалюты на рубли безопаснее работать с надежными P2P-сервисами из каталога обменников, чем держать средства на DeFi-мостах с сомнительной репутацией.
