AFX und die Verus-Ethereum-Brücke erlitten innerhalb weniger Stunden zusammen Verluste in Höhe von rund 31,69 Millionen US-Dollar, während B² Network nach einem unbefugten Zugriff auf eine Vertragsaktualisierungsbehörde das Token-Staking separat aussetzte.
Blockade sagte Der AFX-Exploit wurde am 22. Juli gegen 21:30 UTC entdeckt. Ein Arbitrum Transaktion verzeichnete 24,15 Millionen USDC, die die von AFX, einem dezentralen Handelsprotokoll auf Arbitrum, betriebenen Brücke verließen.
AFX ausgesetzt seine USDC-Verwahrungsbrücke und sagte, der Vorfall sei isoliert von seiner Handelsinfrastruktur, seinem Mainnet und dem Arbitrum-Netzwerk gewesen. Bei der betroffenen Komponente handelte es sich um eine Drittanbieter-Bridge, nicht um die native Bridge von Arbitrum.
In vorläufigen Erkenntnissen veröffentlicht am 24. JuliAFX führte den Vorfall auf koordiniertes Social Engineering und Infrastrukturkompromittierung zurück. Dem Protokoll zufolge begann der Zugriff offenbar in einer Entwicklungsumgebung, bevor er sich in die interne Build-Infrastruktur und Validierungssysteme ausweitete.
AFX sagte, es überprüfe die Salden, strebe die Wiedereinziehung der Mittel an und bereite Abhilfemaßnahmen vor. Bis zum 24. Juli hatte das Unternehmen weder eine vollständige Rückzahlung der Mittel noch einen endgültigen Vergütungsplan bekannt gegeben.
Stunden nach dem AFX-Vorfall ein Ethereum Transaktion zeigte, dass die Verus-Brücke 1.137,4528 ETH und sieben Token-Transfers freigab. Blockade geschätzt die unbesicherten Auszahlungen belaufen sich auf etwa 7,54 Millionen US-Dollar.
SlowMists Analyse sagte, die Brücke habe acht Abhebungen genehmigt, ohne nachzuweisen, dass sie durch entsprechende Vermögenswerte gedeckt seien. Das Unternehmen brachte den Fehler mit derselben breiten kettenübergreifenden Importvalidierungsklasse in Verbindung wie ein Exploit im Mai, sagte jedoch, dass die beiden Angriffe unterschiedliche Mechanismen nutzten.
Der Vorfall von B² wurde nicht als Bridge-Exploit offengelegt. Das Netzwerk sagte Es gab einen unbefugten Zugriff auf die Upgrade-Autorität des Staking-Vertrags. B² hat während der Sicherheitsüberprüfungen das normale Abstecken ausgesetzt, sagte, das Problem sei eingedämmt und versprach den betroffenen Benutzern eine vollständige Entschädigung. Bis zum 24. Juli war die vollständige Rückerstattung noch nicht dokumentiert.
B² bot auch einen manuellen Ausstieg an: Benutzer konnten die Aufhebung des Stakes über seinen offiziellen Discord beantragen, wobei Anfragen mit verifiziertem Eigentum innerhalb eines Werktages bearbeitet werden mussten. Das Netzwerk gab keine Schadenshöhe an, daher ist sein Vorfall in der Gesamtsumme des Brückenschadens in Höhe von 31,69 Millionen US-Dollar nicht enthalten. Bis zur Wiederaufnahme des normalen Einsatzes ist diese manuelle Überprüfung der Weg, den B² Benutzern bietet, die abgesteckte Token abheben möchten.
In den drei Episoden wurden unterschiedliche Kontrollen außerhalb des Basiskettenkonsenses enthüllt. Die Verwahrungs- und Validierungsinfrastruktur von AFX, die Bridge-Accounting-Prüfungen von Verus und die Upgrade-Autorität von B² für Stake-Verträge wurden jeweils zum Punkt, an dem der normale Zugriff fehlschlug.
Für Benutzer besteht der nächste Test darin, ob Wiederherstellungspläne Gelder zurückgeben, ob die kettenübergreifende Validierung die wirtschaftliche Unterstützung überprüft und ob die Upgrade-Autorität geschützt ist, ohne Notausgänge von manuellen Eingriffen abhängig zu machen.
