AFX Trade perd 24 M$ dans l'exploit de son bridge et propose une prime de 30% au pirate

AFX Trade, une plateforme décentralisée de contrats perpétuels construite sur Arbitrum, a subi un piratage de 24,15 millions de dollars le 22 juillet. L'attaquant a compromis des clés de signature de validateurs liées au bridge de la plateforme, a siphonné des USDC du protocole, a transféré l'ensemble vers Ethereum, puis a converti les fonds en environ 12 467 ETH, à un prix moyen proche de 1 937 dollars par jeton. En réaction, AFX Trade a publié une proposition de "white hat" : laisser au pirate 30% des montants dérobés, soit environ 7,2 millions de dollars, s'il restitue les 70% restants. Selon les informations communiquées, l'attaque n'a pas visé le bridge natif d'Arbitrum. Arbitrum n'a pas été compromis et son mécanisme de transfert principal reste opérationnel. La faille se situait dans un bridge tiers exploité par AFX Trade au-dessus de l'infrastructure d'Arbitrum. En prenant le contrôle des clés de signature des validateurs de ce bridge, l'attaquant a pu déplacer les fonds sans contrainte. Le scénario rappelle d'autres attaques récentes. Un exploit comparable avait touché le bridge Verus–Ethereum en mai 2026, avec une méthode similaire pour vider des liquidités. La société de sécurité Blockaid rattache l'incident AFX Trade à un ensemble plus large d'attaques qu'elle a baptisé "Hackers Day". D'après son suivi, les pertes totales liées aux hacks en juillet 2026 atteignent près de 97 millions de dollars. L'offre de prime de 30% s'inscrit dans une pratique de plus en plus courante dans la crypto : privilégier une récupération partielle plutôt qu'une perte totale, d'autant que l'analyse on-chain complique le blanchiment de montants importants sans risque d'identification. Les bridges restent l'un des vecteurs d'attaque les plus rémunérateurs de la DeFi depuis plusieurs années. Ils concentrent souvent de grandes réserves d'actifs verrouillés et reposent sur des ensembles de validateurs ou des schémas multisig, créant des points de défaillance critiques. Dans le cas d'AFX Trade, le maillon faible aurait été un bridge tiers maintenu par l'équipe du protocole, et non le réseau Layer 2 sous-jacent. Pour les investisseurs et traders de DEX de perpétuels sur des réseaux Layer 2, l'épisode illustre l'importance d'évaluer l'infrastructure au-delà de l'interface de trading. Même si le moteur de perpétuels repose sur des smart contracts solides, l'exposition à un bridge doté de clés de validateurs centralisées peut suffire à rendre l'ensemble vulnérable en cas de compromission.