Twee aan Ethereum gekoppelde bridges hebben binnen enkele uren na elkaar een gecombineerd verlies van $31,69 miljoen geleden, en een derde protocol, B² Network, heeft het staken van tokens opgeschort na het detecteren van ongeautoriseerde toegang tot zijn upgrade-autoriteit.
De AFX-bridge op Arbitrum werd als eerste getroffen. Blockaid wijst op de exploit op 22 juli om 21:30 UTC. Een enkele Arbitrum-transactie verplaatste 24,15 miljoen USDC uit de bridge die wordt beheerd door AFX, een gedecentraliseerd handelsprotocol. AFX schortte onmiddellijk zijn USDC-custody-bridge op en benadrukte dat het incident beperkt was tot een bridge van een derde partij en niet zijn eigen handelsinfrastructuur, mainnet of de native bridge van Arbitrum betrof.
In voorlopige bevindingen die op 24 juli werden gepubliceerd, wees AFX op een "gecoördineerde social engineering en infrastructuurcompromittering". De aanvallers leken te zijn begonnen in een ontwikkelomgeving en infiltreerden vervolgens de interne build-infrastructuur en validatorsystemen. AFX zei dat het de balansen verifieert, werkt aan het terughalen van de fondsen en een herstelplan voorbereidt. Op 24 juli had het nog geen voltooide teruggave van fondsen of een definitief compensatieplan aangekondigd.
Uren na het AFX-incident toonde een Ethereum-transactie aan dat de Verus-bridge 1.137,45 ETH plus zeven tokentransfers vrijgaf. Blockaid schatte de waarde van de ongedekte uitbetalingen op ongeveer $7,54 miljoen. De analyse van SlowMist wees uit dat de bridge acht opnames goedkeurde zonder bewijs dat er overeenkomstige activa tegenover stonden. Het bedrijf legde een verband tussen de fout en dezelfde brede klasse van cross-chain importvalidatie als bij een exploit in mei, maar zei dat de twee aanvallen verschillende mechanismen gebruikten.
Het incident bij B² Network was geen bridge-exploit. Het netwerk verklaarde dat iemand ongeautoriseerde toegang had gekregen tot de upgrade-autoriteit van zijn stakingcontract. B² schortte het normale staken op tijdens veiligheidscontroles, zei dat het probleem was ingedamd en beloofde volledige compensatie voor getroffen gebruikers. Op 24 juli was er nog geen restitutie gedocumenteerd. B² bood ook een handmatige unstaken-route aan: gebruikers kunnen een opname aanvragen via de officiële Discord, waarbij verzoeken met geverifieerd eigendom binnen één werkdag worden verwerkt. Het netwerk heeft geen verliesbedrag bekendgemaakt, dus dat incident is niet meegerekend in het totale bridge-verlies van $31,69 miljoen.
De drie gebeurtenissen vonden plaats in een periode van verhoogde aandacht voor cross-chain infrastructuur. Voor handelaren zijn de directe aandachtspunten de balansverificatie en een eventueel compensatieplan van AFX, en of B² het normale staken hervat of het handmatige uitstapproces verlengt. De Verus-bridge-exploit roept ook vragen op over hoeveel andere implementaties afhankelijk zijn van dezelfde importvalidatielogica.
Twee Ethereum-bridges verliezen $31,69M; B² stopt tokenbeloningen
Twee Ethereum-bridges, AFX en Verus, hebben meer dan $31,7 miljoen verloren door gecoördineerde aanvallen en ongeautoriseerde opnames. B² Network heeft ook het staken stopgezet na ongeautoriseerde toegang tot een contract, wat zorgen baart over de veiligheid van cross-chain bridges.