O mercado de criptomoedas voltou a lidar com falhas em pontes entre redes. Em um intervalo de poucas horas, a AFX e a ponte Verus-Ethereum acumularam prejuízos estimados em US$ 31,69 milhões.
Segundo a Blockaid, a exploração contra a AFX foi identificada por volta das 21h30 UTC de 22 de julho. Uma única transação na Arbitrum registrou a saída de 24,15 milhões de USDC da ponte operada pelo protocolo de negociação descentralizado.
A equipe da AFX interrompeu imediatamente a ponte de custódia de USDC. O protocolo destacou que o problema ficou restrito a um componente de terceiros, sem afetar sua infraestrutura de negociação, a rede principal ou a ponte nativa da Arbitrum.
Nas conclusões preliminares divulgadas em 24 de julho, o time apontou uma combinação de engenharia social com comprometimento de infraestrutura. O acesso teria começado em um ambiente de desenvolvimento e depois alcançado sistemas internos de compilação e validação.
Enquanto verifica saldos e tenta recuperar os recursos, a AFX prepara medidas corretivas. Até 24 de julho, nada havia sido anunciado sobre devolução concluída ou plano definitivo de compensação.
Poucas horas depois, uma transação na Ethereum mostrou a ponte Verus liberando 1.137,4528 ETH junto de sete transferências de tokens. A Blockaid estimou esses pagamentos sem lastro em cerca de US$ 7,54 milhões.
A SlowMist analisou o caso e concluiu que oito saques foram aprovados sem verificação dos ativos correspondentes. A falha pertence à mesma classe de validação entre cadeias explorada em maio, embora os mecanismos usados tenham sido distintos.
Já a B² Network relatou situação diferente: o acesso não autorizado atingiu a autoridade de atualização do contrato de staking. A rede pausou o staking durante as revisões, afirmou que o problema estava contido e prometeu compensação integral.
Como alternativa, a B² abriu um canal manual de desbloqueio pelo Discord oficial, com pedidos verificados processados em até um dia útil. O valor da perda não foi revelado, o que deixou o caso fora do total contabilizado.
Os três episódios atingiram controles que ficam fora do consenso das blockchains: custódia, contabilidade de ponte e permissões de atualização de contratos.
