Zwei mit Ethereum verbundene Bridges verloren innerhalb weniger Stunden zusammen 31,69 Millionen US-Dollar, und ein drittes Protokoll, B² Network, setzte das Token-Staking aus, nachdem ein unbefugter Zugriff auf seine Upgrade-Autorität festgestellt wurde.
Die AFX-Bridge auf Arbitrum wurde zuerst getroffen. Blockaid meldete den Exploit am 22. Juli um 21:30 UTC. Eine einzige Arbitrum-Transaktion transferierte 24,15 Millionen USDC aus der Bridge, die von AFX, einem dezentralen Handelsprotokoll, betrieben wird. AFX setzte seine USDC-Verwahrungsbridge sofort aus und betonte, dass der Vorfall auf eine Drittanbieter-Bridge beschränkt war und nicht die eigene Handelsinfrastruktur, das Mainnet oder die native Bridge von Arbitrum betraf.
In vorläufigen Ergebnissen, die am 24. Juli veröffentlicht wurden, machte AFX ein „koordiniertes Social Engineering und eine Kompromittierung der Infrastruktur“ verantwortlich. Die Angreifer schienen in einer Entwicklungsumgebung begonnen zu haben und infiltrierten dann die interne Build-Infrastruktur und die Validatorensysteme. AFX gab an, dass es die Salden überprüft, die Wiederbeschaffung der Gelder verfolgt und eine Entschädigung vorbereitet. Bis zum 24. Juli hatte es weder eine abgeschlossene Rückgabe von Geldern noch einen endgültigen Entschädigungsplan bekannt gegeben.
Stunden nach dem AFX-Vorfall zeigte eine Ethereum-Transaktion, dass die Verus-Bridge 1.137,45 ETH sowie sieben Token-Transfers freigab. Blockaid bewertete die ungedeckten Auszahlungen auf etwa 7,54 Millionen US-Dollar. Die Analyse von SlowMist ergab, dass die Bridge acht Abhebungen genehmigte, ohne einen Nachweis, dass entsprechende Vermögenswerte sie deckten. Das Unternehmen brachte den Fehler mit derselben allgemeinen Klasse von Cross-Chain-Importvalidierungen in Verbindung wie bei einem Exploit im Mai, sagte aber, dass die beiden Angriffe unterschiedliche Mechanismen verwendeten.
Der Vorfall bei B² Network war kein Bridge-Exploit. Das Netzwerk gab an, dass jemand unbefugten Zugriff auf die Upgrade-Autorität seines Staking-Vertrags erlangt hatte. B² setzte das normale Staking während der Sicherheitsüberprüfungen aus, erklärte, das Problem sei eingedämmt, und versprach den betroffenen Nutzern eine vollständige Entschädigung. Bis zum 24. Juli war keine Rückerstattung dokumentiert worden. B² bot auch eine manuelle Auszahlungsroute an: Benutzer können eine Abhebung über den offiziellen Discord beantragen, wobei eigentumsverifizierte Anfragen innerhalb eines Werktages bearbeitet werden. Das Netzwerk gab keine Verlustsumme bekannt, sodass dieser Vorfall von der Gesamtverlustsumme der Bridges von 31,69 Millionen US-Dollar ausgeschlossen ist.
Die drei Ereignisse ereigneten sich in einer Zeit erhöhter Aufmerksamkeit für die Cross-Chain-Infrastruktur. Für Händler sind die unmittelbaren Beobachtungspunkte die Saldenüberprüfung und ein möglicher Entschädigungsplan von AFX sowie die Frage, ob B² das normale Staking wieder aufnimmt oder den manuellen Ausstiegsprozess verlängert. Der Exploit der Verus-Bridge wirft auch Fragen darüber auf, wie viele andere Implementierungen auf derselben Importvalidierungslogik beruhen.
Zwei Ethereum-Bridges verlieren 31,69 Mio. $; B² stoppt Rewards
Zwei Ethereum-Bridges, AFX und Verus, erlitten durch koordinierte Exploits und unautorisierte Abhebungen Verluste von über 31,7 Millionen US-Dollar. B² Network stoppte ebenfalls das Staking nach unbefugtem Zugriff auf einen Vertrag, was Bedenken hinsichtlich der Sicherheit von Cross-Chain-Bridges aufwirft.