По данным Forklog, 22 июля 2026 года проект AFX Trade сообщил об инциденте с мостом между сетью Arbitrum и собственным блокчейном для торговли фьючерсами. После обнаружения подозрительной активности команда немедленно приостановила работу моста и запустила процедуру расследования с участием внешних специалистов по безопасности.

Что произошло

22 июля в 21:30 по UTC из смарт-контракта моста AFX были выведены 24 150 000 USDC — практически весь объём средств, хранившихся в контракте на момент атаки. Компания по блокчейн-безопасности Blockaid первой зафиксировала подозрительную транзакцию.

После вывода из Arbitrum средства были переведены в сеть Ethereum и обменены примерно на 12 467 ETH по средней цене около $1937 за токен. Общая сумма ущерба составила более $24 млн.

AFX Trade в официальном заявлении подчеркнула, что инфраструктура самой торговой платформы, её мейннет и сеть Arbitrum не пострадали. Инцидент затронул только отдельный мост для внесения средств через Arbitrum.

Как работал механизм атаки

По информации издания CoinDesk, злоумышленник не взламывал логику смарт-контракта напрямую. Вместо этого операцию вывода одобрили пять подписей валидаторов с использованием горячих ключей — этого оказалось достаточно для достижения кворума примерно в две трети, предусмотренного протоколом моста.

После истечения 200-секундного периода оспаривания контракт автоматически признал запрос легитимным и выпустил $24,15 млн USDC. Компания Blockaid указала на использование именно подписей валидаторов как на ключевой элемент атаки.

Сооснователь Offchain Labs (разработчика Arbitrum) Стивен Голдфедер подтвердил, что нативный мост Arbitrum не был взломан. Инцидент затронул исключительно сторонний мост, созданный AFX Trade для собственных нужд.

Ход расследования

К расследованию привлечены аналитики компании SlowMist, которые отслеживают перемещение украденных средств. По состоянию на последнее обновление активы оставались на адресе атакующего без дальнейшего движения.

Данные о кошельке злоумышленника были переданы в Альянс криптозащиты (Crypto Defense Alliance, CDA) — объединение бирж и других участников криптоиндустрии для координации действий при инцидентах безопасности. К работе также подключилась компания Zellic, ранее проводившая аудит кода моста AFX.

Команда AFX Trade заявила, что сосредоточена на защите пользователей и возврате украденных активов. Расследование точного вектора атаки продолжается.

Что это значит для российских инвесторов

Инцидент с AFX Trade — очередное напоминание о рисках использования мостов между блокчейнами, особенно новых и малопроверенных. Для пользователей из России, активно работающих с Arbitrum через такие биржи, как Bybit, MEXC или OKX, важно диверсифицировать способы хранения средств.

Если вы торгуете фьючерсами через DEX-протоколы, проверяйте историю аудитов смарт-контрактов и не держите крупные суммы на кастодиальных мостах. Используйте для крупных сумм холодные кошельки или проверенные централизованные биржи с лицензиями. Для обмена крипты на рубли безопаснее работать с проверенными P2P-сервисами из каталога обменников, чем держать средства на DeFi-мостах с сомнительной репутацией.