Arbitrum 上 AFX Trade 橋接驗證密鑰遭入侵　損失約 2,415 萬美元

鏈上數據顯示，以美元掛鈎穩定幣 USDC 結算的去中心化永續合約交易所 AFX Trade，周三遭黑客抽乾約 2,415 萬美元資金。事件起因為該協議在 Arbitrum 上營運的一條橋接，其驗證者（validator）簽署密鑰被攻擊者取得。 Offchain Labs 共同創辦人 Steven Goldfeder（該公司負責開發及維護 Arbitrum 網絡）表示，Arbitrum 原生橋 "並未以任何方式被入侵或遭利用"，相關交易源自第三方協議。市場一般認為，若 Arbitrum 自家橋接出現漏洞，風險將波及整個 Layer 2 生態；是次屬於建構在其上的協議出現權限失守，影響相對可控，橋接合約本身的程式邏輯亦未被破壞。 保安公司 Blockaid 指出，攻擊並非繞過鏈上邏輯。相反，橋接的 5 個熱錢包驗證者簽名（用於授權提款的批核）批准將 24,150,000 枚 USDC 轉至攻擊者錢包，達到該橋接要求約三分之二的法定簽名門檻。Blockaid 表示在 2026-07-22 21:30 UTC 偵測到針對 @arbitrum 上 @AFX_XYZ 的攻擊，且漏洞僅與 AFX 自行營運的橋接相關。 合約在 200 秒爭議期後將提款視為有效並放行資金。換言之，橋接按設計運作，但用於授權的密鑰疑似落入他人之手。攻擊者其後把被盜 USDC 跨鏈到以太坊，並兌換成約 12,467 枚 ETH，按當時市值約 2,400 萬美元；鏈上追蹤顯示資產目前集中在單一錢包。 數據平台 DefiLlama 顯示，事件發生前 AFX 交易活動急升，7 月中旬日度永續合約成交量衝上多月高位，吸引用戶及資金流入。被抽走的約 2,400 萬美元幾乎等同協議的總鎖倉價值（TVL），意味攻擊者在資金池接近最滿的時點完成清空。 是次損失亦發生在加密資安形勢嚴峻之際，第二季屬歷來最糟糕的被盜季度之一；Arbitrum 生態內多個協議近期亦接連出事，包括一周前 RWA 平台 Ostium 因預言機（oracle）遭利用而損失約 1,800 萬美元。整體而言，今次更接近 4 月 Drift Protocol 約 2.85 億美元事故的模式：攻擊者透過長時間滲透取得特權存取，而非直接擊破合約本身。