AFX Trade Berbasis Arbitrum Kehilangan USDC Senilai US$24 Juta Usai Kunci Bridge Terekspos

AFX Trade, bursa perpetual terdesentralisasi yang melakukan penyelesaian transaksi dalam stablecoin USDC yang dipatok ke dolar, terkuras sekitar US$24,15 juta pada Rabu setelah penyerang berhasil mengambil alih kunci penandatanganan validator pada bridge yang dioperasikan protokol tersebut di Arbitrum, menurut data blockchain. Steven Goldfeder, salah satu pendiri Offchain Labs—pengembang dan pemelihara jaringan—menegaskan bahwa bridge native Arbitrum "tidak diretas atau dieksploitasi dengan cara apa pun". Ia menyatakan transaksi tersebut berasal dari protokol pihak ketiga. Peretasan pada bridge milik Arbitrum sendiri akan menimbulkan risiko sistemik bagi seluruh jaringan layer-2, sedangkan kompromi pada protokol yang berjalan di atasnya dinilai sebagai kegagalan yang lebih terlokalisasi. Tidak ada kerusakan pada logika kode bridge itu sendiri. Bridge adalah alat berbasis blockchain untuk memindahkan token antarjaringan, termasuk ke jaringan yang awalnya tidak didukung. Perusahaan keamanan Blockaid menyebut logika on-chain tidak ditembus. Lima tanda tangan hot-validator bridge—persetujuan yang mengotorisasi penarikan—justru memberikan persetujuan pemindahan 24.150.000 USDC ke dompet penyerang, melampaui ambang kuorum sekitar dua pertiga yang disyaratkan. Blockaid melaporkan mendeteksi eksploit pada 20260722 21:30 UTC yang menargetkan @AFX_XYZ, sebuah protokol di @arbitrum. Eksploit tersebut spesifik pada bridge yang dioperasikan AFX, dengan sekitar 24,15 juta USDC telah terkuras dari protokol hingga saat ini. Kontrak menganggap penarikan itu sah dan melepas dana setelah melewati periode sengketa 200 detik. Bridge beroperasi sesuai rancangan, tetapi kunci otorisasi diduga sudah berada di tangan pihak yang tidak semestinya. Setelah itu, pelaku mem-bridge USDC hasil curian ke Ethereum dan menukarkannya menjadi sekitar 12.467 ETH, bernilai kurang lebih US$24 juta. Pelacak on-chain menyebut dana tersebut kini berada di satu dompet. Aktivitas perdagangan AFX dilaporkan meningkat tajam menjelang insiden. Data DefiLlama menunjukkan volume perpetual harian melonjak ke level tertinggi dalam beberapa bulan pada pertengahan Juli, seiring protokol menarik pengguna dan setoran. Dana sekitar US$24 juta yang terkuras hampir setara dengan seluruh total value locked (TVL) protokol. Artinya, penyerang mengosongkan kas pada saat nilainya nyaris berada di titik puncak. Insiden ini terjadi di tengah periode yang berat bagi keamanan kripto. Kuartal II termasuk salah satu kuartal terburuk dalam catatan untuk kasus peretasan, dan sejumlah protokol berbasis Arbitrum terkena serangan beruntun, termasuk eksploit oracle yang menguras US$18 juta dari platform RWA Ostium sepekan sebelumnya. Kasus AFX juga dinilai sejalan dengan pola kegagalan seperti kerugian Drift Protocol sekitar US$285 juta pada April, ketika pelaku menghabiskan waktu berbulan-bulan untuk memperoleh akses berprivilegi alih-alih merusak kontrak secara langsung.