Sàn AFX Trade trên Arbitrum mất 24 triệu USD sau khi lộ khóa ký của cầu nối

AFX Trade, sàn giao dịch hợp đồng vĩnh cửu phi tập trung thanh toán bằng stablecoin neo USD USDC, đã bị rút khoảng 24,15 triệu USD vào thứ Tư sau khi kẻ tấn công chiếm được các khóa ký của validator phục vụ cầu nối do chính giao thức vận hành trên Arbitrum, theo dữ liệu on-chain. Steven Goldfeder, đồng sáng lập Offchain Labs (đơn vị phát triển và duy trì mạng), cho biết Arbitrum native bridge "không bị hack hay khai thác theo bất kỳ cách nào" và giao dịch xuất phát từ một giao thức bên thứ ba. Việc Arbitrum bị tấn công trực tiếp ở cầu nối gốc có thể tạo rủi ro trên toàn mạng layer-2, còn sự cố ở một giao thức chạy phía trên được xem là lỗi cục bộ. Không có phần logic mã của chính cầu nối bị phá vỡ. Cầu nối là công cụ dựa trên blockchain dùng để chuyển token giữa các mạng khác nhau, kể cả những mạng vốn không được hỗ trợ ban đầu. Công ty bảo mật Blockaid cho biết cơ chế logic on-chain không bị vượt qua. Thay vào đó, 5 chữ ký hot-validator của cầu nối—các phê duyệt cho phép rút tiền—đã ký xác nhận chuyển 24.150.000 USDC sang ví của kẻ tấn công, đạt ngưỡng đồng thuận khoảng hai phần ba mà cầu nối yêu cầu. Blockaid ghi nhận vụ khai thác lúc 20260722 21:30 UTC nhắm vào @AFX_XYZ, một giao thức trên @arbitrum; sự cố gắn với cây cầu do AFX vận hành, và đến thời điểm đó khoảng 24,15 triệu USDC đã bị rút khỏi giao thức. Hợp đồng coi lệnh rút là hợp lệ và giải phóng tiền sau thời gian tranh chấp 200 giây. Cầu nối vận hành đúng thiết kế, nhưng các khóa dùng để ủy quyền dường như đã rơi vào tay kẻ khác. Sau đó, kẻ tấn công chuyển số USDC bị đánh cắp sang Ethereum và hoán đổi lấy khoảng 12.467 ETH, trị giá xấp xỉ 24 triệu USD. Các công cụ theo dõi on-chain cho biết số tiền hiện nằm trong một ví duy nhất. Hoạt động giao dịch của AFX tăng mạnh trước thời điểm bị tấn công. Theo DefiLlama, khối lượng hợp đồng vĩnh cửu hằng ngày đã vọt lên mức cao nhất trong nhiều tháng vào giữa tháng 7 khi giao thức thu hút người dùng và dòng tiền gửi vào. Khoản 24 triệu USD bị rút gần như tương đương toàn bộ tổng giá trị khóa (TVL) của giao thức, cho thấy kẻ tấn công đã "rút sạch kho" gần đúng thời điểm số dư đạt mức cao nhất. Sự cố xảy ra trong giai đoạn an ninh crypto đặc biệt căng thẳng, với quý II thuộc nhóm tệ nhất về các vụ hack trong lịch sử, và loạt giao thức trên Arbitrum bị tấn công liên tiếp. Trước đó một tuần, một vụ khai thác oracle đã rút 18 triệu USD khỏi nền tảng RWA Ostium. Về bản chất, vụ việc này tương tự tổn thất khoảng 285 triệu USD của Drift Protocol hồi tháng 4, khi kẻ tấn công mất nhiều tháng để giành quyền truy cập đặc quyền thay vì phá vỡ hợp đồng.