Nag-drain ang mga hacker ng $31M mula sa AFX Trade at VerusCoin bridges noong Hulyo 2026. Buong detalye ng parehong pagsasamantala at galaw ng pondo.
Dalawang magkahiwalay na pagsasamantala sa bridge ang nag-drain ng mahigit $31 milyon mula sa mga crypto protocol sa loob ng ilang araw. Ang AFX Trade na nakabase sa Arbitrum ay nawalan ng $24.15 milyon sa USDC noong Hulyo 22.
Ang Ethereum Bridge ng VerusCoin ay nawalan ng humigit-kumulang $7.54 milyon sa isang kaugnay ngunit magkaibang pag-atake.
Ang security firm na Blockaid ay nag-flag sa parehong insidente habang nagaganap ang mga ito. Ang dalawang pag-hack ay nagpapataas sa kabuuang halaga ng pagsasamantala sa bridge noong 2026, na nagdaragdag ng bagong presyon sa cross-chain infrastructure.
Na-drain ang $24 Milyon mula sa Arbitrum Bridge ng AFX Trade
Nakita ng Blockaid ang pagsasamantala sa AFX noong 21:30 UTC noong Hulyo 22.
Na-kompromiso ng attacker ang limang hot-validator signature sa custody bridge na pinapatakbo ng AFX. Dahil dito, nalampasan nila ang kinakailangang quorum at na-authorize ang isang hindi awtorisadong pag-withdraw.
Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ, a protocol on @arbitrum. The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol.
Our team has been working with the incredible folks on… https://t.co/0Qd9ve5gPB
— Blockaid (@blockaid_) July 22, 2026
Ang ninakaw na USDC ay inilipat sa isang Ethereum wallet bago ito pinalitan ng attacker ng 12,467.5 ETH, ayon sa ulat ng PeckShieldAlert. Ang mga pondo ay kasalukuyang nasa wallet na 0x6276…ebAC.
Agad na sinuspinde ng AFX ang operasyon ng bridge matapos malaman ang breach. Sinabi ng kumpanya na ang kanilang trading infrastructure, mainnet, at ang mas malawak na Arbitrum network ay nananatiling hindi apektado.
Kinumpirma ni Steven Goldfeder ng Arbitrum Foundation na hindi kasali ang native na Arbitrum bridge. Sinabi niya na ang na-exploit na transaksyon ay nagmula sa isang third-party protocol.
Kinumpirma rin ng AFX sa kalaunan na ang mga ninakaw na pondo ay nananatili sa address ng attacker.
Iniulat ng security firm na SlowMist ang wallet sa Crypto Defense Alliance, isang network ng mga exchange at ecosystem partner na sumusubaybay sa iligal na pondo. Sumali ang Zellic, ang firm na nag-audit ng bridge code ng AFX, sa imbestigasyon.
Sinabi ng AFX na magpapatuloy sila sa pagbabahagi ng mga verified update habang umuunlad ang kaso.
Muling Na-hit ang VerusCoin Bridge, Nawalan ng $7.5 Milyon
Nag-flag din ang Blockaid ng pangalawang pagsasamantala na nag-target sa VerusCoin Ethereum Bridge.
Ginamit ng attacker ang import path ng bridge upang mag-trigger ng mga payout na hindi sinusuportahan ng tunay na reserba. Ito ay nag-drain ng humigit-kumulang $7.54 milyon mula sa ETH, tBTC, USDC, USDT, EURC, MKR, at scrvUSD. Ang mga pondo ay inilipat mula sa bridge contract patungo sa isang wallet na nagtatapos sa C142D54.
🚨 Blockaid detected a @VerusCoin Ethereum Bridge exploit on Ethereum.
An attacker used the bridge import path to trigger unbacked Ethereum-side payouts, draining ~$7.54M in ETH, tBTC, USDC, USDT, EURC, MKR, and scrvUSD from bridge reserves.
More details in 🧵— Blockaid (@blockaid_) July 23, 2026
Pansin ng Blockaid na ang pagsasamantala ay may mga pangunahing katangian na katulad ng isang insidente noong Mayo 2026 sa parehong bridge. Parehong ginamit ng dalawang pag-atake ang parehong kontrata at parehong entry path.
Inilarawan ng Blockaid ang dalawa bilang may parehong klase ng bug. Isang magkaibang attacker ang nagsagawa ng pagsasamantala noong Hulyo gamit ang isang hiwalay na wallet.
Iniulat ng PeckShieldAlert na sinimulan ng attacker na linisin ang mga ninakaw na pondo sa pamamagitan ng Tornado Cash ilang sandali matapos ang pagsasamantala. Hindi pa naglalabas ng pampublikong pahayag ang VerusCoin tungkol sa insidente noong Hulyo sa oras ng pagsulat.
Ang pag-atake noong Mayo, sa kabaligtaran, ay nag-drain ng $11.58 milyon matapos manipulahin ng isang attacker ang cross-chain export process ng bridge gamit ang isang transaksyon na nagkakahalaga ng humigit-kumulang $10 sa mga bayarin.
Basahin din:
https://www.livebitcoinnews.com/wanchain-cardano-bridge-exploited-515m-night-drained-from-treasury/
Tumugon ang mga Security Firm Habang Tumataas ang Pagsasamantala sa Bridge
Ang parehong insidente ay nagpapakita ng mga paulit-ulit na kahinaan sa kung paano nagbe-verify ang mga bridge ng cross-chain transfers.
Ang pagsasamantala sa VerusCoin noong Mayo ay nagmula sa isang nawawalang validation check sa source-chain export amounts. Sinabi ng Blockaid na ang klase ng bug ay katulad ng mga isyu na nakita sa mga pagsasamantala sa Wormhole at Nomad noong 2022.
Mabilis na kumilos ang mga security team sa parehong kaso upang subaybayan ang mga ninakaw na asset. Ang SlowMist, Zellic, at PeckShieldAlert ay lahat gumanap ng mga papel sa pagsubaybay sa aktibidad ng wallet at pagkumpirma ng mga detalye ng pag-atake.
Wala sa AFX o VerusCoin ang naglalahad ng timeline para sa pagpapanumbalik ng buong functionality ng bridge. Ang parehong kaso ay nananatiling bukas habang patuloy ang mga imbestigador sa pagsubaybay sa daloy ng mga ninakaw na pondo sa iba’t ibang chain.
Mag-iwan ng Tugon