#AFXBridgeHack24M
About AFXBridgeHack24M
On July 22, Perp DEX AFX Trade's Arbitrum bridge was allegedly drained of 24.15M USDC, later bridged to Ethereum and swapped for 12,467 ETH. Two more attacks hit the same night: B2 Network on BNB Chain lost about 8.59M B2 tokens (around $3.86M), and algorithmic stablecoin Balance Coin crashed over 99% via an oracle price bug, netting the attacker about $912K. CertiK reported 52 wrench attacks in H1 2026, about $124M in losses, up roughly 11.8x YoY. Ostium resumes trading July 23 at 22:00.
Populer
Terbaru
AFXBridgeHack24M Postingan populer
#AFXBridgeHack24M Tiga Peretasan DeFi dalam Satu Malam: Apa Yang Dikatakan 22 Juli Tentang Mana Keamanan Masih Kurang
Tanggal 22 Juli adalah tahun yang berat. Tiga protokol terpisah terkena dalam satu malam, dan kerusakan gabungan memberi tahu Anda sesuatu yang tidak nyaman tentang di mana keamanan DeFi masih memiliki celah.
Yang terbesar: Jembatan Arbitrum Perp DEX AFX Trade dikuras sebesar 24,15 juta USDC. Penyerang menjembatani ke Ethereum dan beralih ke 12.467 ETH. Bersih, cepat, sulit dibalik. Eksploitasi jembatan bukanlah hal baru, tetapi $24 juta USDC yang keluar dalam satu transaksi adalah pengingat bahwa infrastruktur lintas rantai tetap menjadi salah satu sambungan paling berbahaya dalam tumpukan.
Pada malam yang sama, B2 Network di BNB Chain kehilangan sekitar 8,59 juta token B2 (sekitar $3,86 juta). Kemudian serangan ketiga: stablecoin algoritmik Balance Coin runtuh lebih dari 99% akibat bug harga oracle, sehingga penyerang mencapai sekitar $912K. Manipulasi Oracle sebagai vektor serangan telah didokumentasikan selama bertahun-tahun. Tetap saja berfungsi.
Secara terpisah, Ostium telah mengumumkan akan melanjutkan perdagangan pada 23 Juli pukul 22:00 UTC setelah jeda baru-baru ini.
Konteks makro membuat hal ini sulit untuk diabaikan. Laporan H1 2026 CertiK mencatat 52 serangan fisik "kunci inggris" saja, sekitar $124 juta dalam kerugian, naik sekitar 11,8 kali lipat dari tahun sebelumnya. Itulah ancaman off-chain. Di on-chain, alat untuk mengaudit jembatan dan integrasi oracle jelas masih belum mengikuti kecepatan deployment.
Pertanyaan yang layak dipikirkan: pada titik mana eksploitasi bridge dan oracle yang berulang mulai secara bermakna memengaruhi di mana likuiditas memilih untuk berada?
Bagikan pemikiran Anda di kolom komentar 👇
TERBARU: Jembatan AFX Trade di Arbitrum dieksploitasi seharga $24,15 juta pada tahun $USDC, dengan tim menawarkan hadiah topi putih sebesar 30% untuk pengembalian dana.
Apa yang sebenarnya terjadi di dunia kripto?
Dalam satu hari saja, peretas mengeksploitasi 3 proyek kripto, mencuri $35,56 juta.
AFX Trade dieksploitasi seharga $24,15 juta.
Verus mengeksploitasi seharga $7,55 juta.
B² Network dieksploitasi seharga $3,86 juta.
Kita sudah turun 80%-90%, dan apa pun yang tersisa sekarang sedang diretas.
$BTC
$ARB Jembatan AFX Arbitrum Diserang $24,15 JutaUSDCtolen
Protokol AFX dalam ekosistem Arbitrum telah diserang, secara khusus menargetkan jembatan rantai lintasan tempat mereka beroperasi, yang mengakibatkan pencurian sekitar $24,15 juta USDC.
🔸 Blockaid bekerja sama dengan tim Arbitrum untuk merespons, berkomunikasi dengan protokol yang terdampak dan membantu membekukan dana yang dicuri.
🔸 Steven Goldfeder, salah satu pendiri Offchain Labs, mengonfirmasi bahwa transaksi tersebut berasal dari protokol pihak ketiga dan menyatakan bahwa jembatan asli Arbitrum tidak pernah diserang.
👉 Ini adalah serangan jembatan ketiga dalam waktu kurang dari seminggu (setelah Allbridge dan Wanchain), menyoroti meningkatnya popularitas protokol lintas rantai di kalangan peretas. Pencurian USDC sebesar $24 juta merupakan kerugian besar dan akan memengaruhi kepercayaan pengguna terhadap solusi jembatan Arbitrum. Meskipun jembatan asli Arbitrum tetap aman, insiden ini menjadi pengingat akan risiko penggunaan jembatan pihak ketiga.
💬 Apakah Anda menggunakan crosschain bridge di Arbitrum? Apakah insiden ini menimbulkan kekhawatiran tentang keamanan aset Anda?
Berita hanya untuk referensi, bukan saran investasi. Harap baca dengan seksama sebelum membuat keputusan.
Seminggu lagi, jembatan lagi. AFX, sebuah protokol berbasis Arbitrum, kehilangan sekitar $24 juta USDC setelah kunci jembatannya dikompromikan, salah satu dari lebih dari selusin insiden keamanan kripto bulan ini. Perhatikan polanya: eksploitasi mengenai komponen offchain, bukan bug smart-contract.
Perbedaan itu adalah pelajaran utama. Industri ini sudah mahir dalam mengaudit kontrak; Sisi lemah sekarang adalah keamanan operasional, kunci, jembatan, lapisan manusia dan infrastruktur di sekitar kode. Jembatan tetap menjadi risiko paling terkonsentrasi dalam kripto karena menggabungkan nilai dan mengandalkan asumsi kepercayaan yang jarang dilihat pengguna. Bukan alasan untuk mengabaikan DeFi, pengingat bahwa "bukan kunci Anda" juga berlaku untuk protokol. Keamanan adalah sebuah proses, bukan lencana audit.
NFA.
#AFXBridgeHack24M #OKXOrbit
#AFXBridgeHack24M
#AFXBridgeHack24M
AFX Trade, sebuah bursa perpetual terdesentralisasi di Arbitrum, kehilangan $24,15 juta ketika penyerang mengkompromikan validator yang menandatangani kunci untuk jembatan cross-chain mereka — lima tanda tangan hot-validator memenuhi kuorum dua pertiga yang dibutuhkan untuk mengotorisasi penarikan USDC penipuan sebesar 24,15 juta. Blockaid mendeteksinya pada 22 Juli pukul 21:30 UTC; penyerang menjembatani dana ke Ethereum dan menukarnya ke 12.467 ETH, hampir mengosongkan seluruh TVL AFX.
Jembatan native Arbitrum sendiri tidak tersentuh — salah satu pendiri Offchain Labs, Steven Goldfeder, mengonfirmasi bahwa itu adalah kompromi protokol pihak ketiga, bukan kerentanan Arbitrum. Polanya mengikuti tren yang lebih luas pada tahun 2026: kompromi kunci/infrastruktur off-chain, bukan bug kontrak pintar, yang menjadi penyebab sebagian besar peretasan besar tahun ini — menggemakan pelanggaran Drift Protocol senilai $285 juta pada bulan April.
Waktunya sangat buruk: eksploitasi terpisah Verus Ethereum Bridge ($7,5 juta, menggunakan teknik yang hampir identik dengan pelanggaran pada Mei) terjadi hanya beberapa jam kemudian, membawa kerugian gabungan jembatan menjadi $31,6 juta dalam satu jendela waktu 7 jam — menjadikan ini insiden keamanan kripto ke-14 di bulan Juli, bulan yang sudah melampaui total kerugian peretasan pada bulan Juni.
zeroShadow, bekerja sama dengan @_SEAL_Org, telah mengidentifikasi bahwa AFX Bridge Exploit terbaru sangat mungkin terkait dengan UNC4899 (subgrup Korea Utara TraderTraitor). Melalui analisis on-chain yang ekstensif, telah diidentifikasi hubungan antara pendanaan gas untuk eksploitasi ini dengan eksploitasi KelpDAO baru-baru ini. Sejumlah titik data juga diidentifikasi, yang konsisten dengan aktor ancaman ini dan eksploitasi terbaru. zeroShadow akan terus mendukung penelitian ini dan membagikan informasi alamat ilegal yang diketahui untuk membantu menghentikan pergerakan dana tersebut.
AFX kehilangan $24 juta minggu ini dan cara itu terjadi seharusnya menjadi perhatian setiap protokol
Tidak ada yang membobol kode, tidak ada eksploitasi kontrak pintar, bahkan tidak ada bug
penyerang mencuri kunci penandatanganan ke jembatan yang dioperasikan AFX dan setelah Anda memegang kunci tersebut, Anda tidak meretas, Anda hanya membukanya langsung
$24,15 juta USDC dijembatani ke ETH dan ditukar ke 12.467 ETH, semuanya tersimpan di satu dompet yang bisa dilihat semua orang dan tidak ada yang bisa sentuh
Tim merespons: Penawaran publik: Simpan 30% sebagai "hadiah" jika Anda mengembalikan sisanya, itu berarti $7,2 juta untuk pencuri
dan ini adalah serangan kompromi kunci ketiga tahun ini dengan skenario yang sama - drift di April, Verus di Mei, dan sekarang AFX
proyek menghabiskan jutaan untuk mengaudit setiap baris kode lalu menyerahkan kunci ke beberapa laptop dan berharap
$24 juta berikutnya juga tidak akan hilang karena kode yang buruk
Selamat Jumat.
$35,55 juta habis dari tiga protokol dalam waktu 6 jam.
AFX, $24,15M: penyerang mendapatkan kunci validator untuk bridge AFX yang berjalan sendiri.
Kontraknya berjalan sempurna, tapi untuk orang yang salah. AFX secara terbuka menawarkan untuk membiarkan peretas menyimpan 30% jika mereka mengembalikan sisanya. Sejauh ini dana belum berpindah.
B², $3,86M: penyerang mengambil alih otoritas upgrade kontrak staking dan membuang 8,59 juta token ke dalam likuiditas tipis.
10% hadiah di atas meja. Investigator Specter mencatat bahwa peran admin yang telah kompromi telah aktif selama lebih dari setahun, dan mengatakan hal itu mungkin mengarah ke orang dalam.
Verus, $7,54M: jembatan yang sama, jalur masuk yang sama seperti hack $11,5M mereka di bulan Mei.
Blockaid bilang kemungkinan kali ini penyerang yang berbeda. Pada bulan Mei, Verus bersetuju dengan membiarkan peretas mempertahankan 25% dan mendapatkan sisanya kembali. Kemudian mereka menyetor kembali dana yang dipulihkan ke jembatan yang sama yang belum diperbaiki pada 8 Juli.
Dua minggu kemudian itu hilang lagi, kali ini langsung melalui Tornado Cash.
Dua tawaran hadiah terbuka. Satu jembatan dirampok dua kali melalui pintu yang sama.
Defi - masa depan keuangan.
——————————————
Penafian: riset independen (bisa saja salah). Selalu DYOR.
Lil Auntie 🌮
Rekap Juni. Bulan yang relatif tenang dan damai. Tetapi risikonya ada di tempat-tempat yang kebanyakan orang tidak pernah melihat.
Beberapa gila (periksa Silent Swap)
Tanda terima:
> $75,87 juta hilang di 40 peretasan pada bulan Juni (PeckShield)
> Aztec: hit dua kali dalam 4 hari, ~$4.3M, kedua produk ditutup bertahun-tahun yang lalu
> Secret Network: $4.67 juta terkuras, tidak ada yang memperhatikan selama 7 hari
Bot MEV > Jared: diumpan dan dikeringkan seharga $7,5 juta
> Syscoin: ~$10 juta dicetak begitu saja, lalu KEMBALI dan dibakar (langka W)
> Silent Swap: malware yang menukar alamat dompet yang baru saja Anda tempelkan (gila)
> Amazon Q: satu file dalam repositori yang diunduh dapat menyerahkan kunci cloud Anda (ditambal)
Apa kesamaan ini? Hampir tidak ada uang yang berasal dari protokol langsung yang diakali.
Produk Aztec yang dikeringkan ditinggalkan pada tahun 2022 dan 2023. Tim menyerahkan kunci admin ketika mereka mematikannya, yang berarti tidak ada tambalan dan tidak ada tombol jeda. Kode itu duduk di sana tanpa penjagaan, masih menyimpan uang pengguna.
Secret Network dirampok pada 10 Juni dan mengetahuinya seminggu kemudian, ketika penarikan gagal karena brankas sudah kosong. Tidak ada yang menonton.
Jared, bot sandwich paling terkenal di Ethereum, juga tidak diretas. Seorang penyerang menghabiskan waktu berminggu-minggu menanam token palsu yang tampak seperti keuntungan mudah. Bot terus memberikan izin pengeluaran untuk memperdagangkannya. Kemudian penyerang menggunakan izin tersebut untuk mengosongkannya. (lihat video di bawah)
Dan Silent Swap tidak menyentuh protokol sama sekali. Ini bersembunyi di ekstensi browser 'Google Notes' palsu dan diam-diam mengganti alamat dompet di clipboard Anda. Anda menyalin alamat yang benar, Anda menempelkan alamat penyerang.
Mengapa Anda harus peduli: kebiasaan Anda memeriksa hal-hal yang keras. Dapp, token, grafik. Serangan-serangan ini hidup dalam hal-hal tenang yang berhenti Anda periksa.
- Persetujuan lama.
- Protokol mati yang Anda gunakan sekali di tahun 2022.
- Ekstensi browser.
- Pasta itu sendiri (Silent Swap)
Apa yang sebenarnya harus dilakukan:
1. Cabut persetujuan token lama, terutama apa pun yang belum Anda sentuh selama setahun.
2. Jika protokol yang Anda gunakan ditutup, keluarkan dana Anda. Tidak digunakan lagi tidak berarti aman. Itu berarti tidak dijaga.
3. Verifikasi setiap alamat yang Anda tempelkan. 6 karakter pertama dan 6 terakhir, setiap saat.
4. Audit ekstensi browser Anda. Jika Anda tidak ingat menginstalnya, lepaskan.
5. Jika Anda membuat kode dengan asisten AI, terus perbarui, dan jangan buka repositori orang asing dengan agen diaktifkan.
Tetap Safu.
