AFX Trade perde US$ 24 milhões após comprometimento de chaves de validação de ponte no Arbitrum

A AFX Trade, exchange descentralizada de perpétuos com liquidação em USDC, teve cerca de US$ 24,15 milhões drenados na quarta-feira depois que um invasor comprometeu as chaves de assinatura dos validadores ligadas a uma ponte operada pelo próprio protocolo no Arbitrum, segundo dados on-chain. Steven Goldfeder, cofundador da Offchain Labs — responsável pelo desenvolvimento e manutenção da rede — afirmou que a ponte nativa do Arbitrum "não foi hackeada nem explorada de forma alguma" e que a transação partiu de um protocolo de terceiros. Um ataque à ponte do Arbitrum indicaria risco sistêmico para toda a rede layer 2; já o comprometimento de um protocolo que roda sobre ela tende a ser um evento mais contido. A lógica do código da ponte não foi quebrada. Pontes são ferramentas em blockchain usadas para transferir tokens entre redes, inclusive para ambientes onde eles não eram suportados originalmente. A empresa de segurança Blockaid disse que a lógica on-chain não foi contornada. Em vez disso, cinco assinaturas de validadores "hot" da ponte — aprovações necessárias para autorizar um saque — validaram a movimentação de 24.150.000 USDC para a carteira do atacante, superando o quórum de cerca de dois terços exigido pelo mecanismo. A Blockaid informou ter detectado o exploit em 20260722 às 21:30 UTC, tendo como alvo @AFX_XYZ no @arbitrum, e afirmou que o incidente foi específico de uma ponte operada pela AFX. O contrato considerou o saque válido e liberou os fundos após um período de contestação de 200 segundos. A ponte funcionou como projetada, mas as chaves de autorização aparentemente estavam em posse indevida. Após o desvio, o atacante fez a ponte do USDC roubado para o Ethereum e trocou os valores por cerca de 12.467 ETH, equivalentes a aproximadamente US$ 24 milhões. Rastreadores on-chain apontam que os ativos agora estão concentrados em uma única carteira. A atividade de negociação na AFX vinha acelerando antes do ataque. Dados da DefiLlama mostram o volume diário de perpétuos atingindo máximas de vários meses em meados de julho, à medida que o protocolo atraía usuários e depósitos. Os cerca de US$ 24 milhões drenados representavam quase a totalidade do valor total bloqueado (TVL) do protocolo, o que indica que o invasor esvaziou o cofre perto do momento de maior saldo. A perda ocorre em meio a uma fase especialmente dura para a segurança cripto, com o 2º trimestre entre os piores já registrados em hacks e uma sequência de ataques a protocolos baseados em Arbitrum. Uma semana antes, uma exploração envolvendo oráculo drenou outros US$ 18 milhões da plataforma de RWA Ostium. O episódio lembra o caso do Drift Protocol, que em abril sofreu uma perda de cerca de US$ 285 milhões, em que os atacantes passaram meses obtendo acesso privilegiado, sem necessidade de quebrar contratos.