AFX Alami Serangan, 24,15 Juta USDC Dikuras

Kincai Media – Protokol perdagangan derivatif terdesentralisasi AFX Trade mengalami kejadian keamanan besar setelah bridge lintas jaringan yang dioperasikannya dibobol. Dalam kejadian tersebut, sekitar 24,15 juta USDC terkuras dari perjanjian bridge di jaringan Arbitrum.

Kabar AFX alami serangan terdeteksi perusahaan keamanan on-chain Blockaid pada Rabu, 22 Juli 2026 pukul 21.30 UTC alias Kamis, 23 Juli 2026 pukul 04.30 WIB.

Blockaid menegaskan serangan tersebut menyasar bridge yang dikelola AFX secara independen. Insiden ini bukan serangan terhadap native bridge resmi milik Arbitrum.

Salah satu pendiri Offchain Labs, Steven Goldfeder, juga memastikan transaksi mencurigakan berasal dari protokol pihak ketiga.

AFX Alami Serangan pada Bridge Sendiri

Berdasarkan kajian keamanan awal, serangan tidak diduga berasal dari celah pada logika smart contract. Pelaku diperkirakan sukses menguasai private key yang dipakai validator bridge untuk menandatangani dan menyetujui transaksi penarikan.

Blockaid menyebut lima tanda tangan validator aktif digunakan untuk menyetujui penarikan 24.150.000 USDC. Jumlah tanda tangan itu memenuhi kuorum sekitar dua pertiga yang disyaratkan sistem.

Karena tanda tangan yang masuk sah secara kriptografis, smart contract menganggap permintaan penarikan tersebut sah. Kontrak kemudian melepaskan biaya setelah melewati masa sanggah alias dispute period sekitar 200 detik.

Risiko Hot Key Jadi Sorotan

Insiden ini kembali menyoroti akibat penggunaan hot key pada prasarana penting. Hot key terus terhubung dengan sistem daring sehingga lebih mudah digunakan untuk operasional harian.

Namun, konektivitas tersebut juga membikin hot key mempunyai paparan serangan lebih tinggi. Berbeda dengan cold key, penyimpanan luring biasanya lebih kondusif lantaran tidak selalu terhubung ke internet.

Dalam kasus bridge, private key validator menjadi komponen krusial. Jika kunci tersebut dikuasai pihak tidak berwenang, transaksi rawan bisa terlihat sah di mata smart contract.

Karena itu, kasus AFX alami serangan memperlihatkan bahwa audit smart contract saja tidak selalu cukup. Keamanan operasional, pengelolaan kunci, server penandatangan, dan kontrol akses internal juga menjadi bagian krusial dari pertahanan protokol.

Dana Dipindah ke Ethereum

Setelah biaya keluar dari bridge AFX, pelaku memindahkan USDC hasil rampasan dari jaringan Arbitrum menuju Ethereum. Dana tersebut kemudian ditukar menjadi sekitar 12.467 Ether alias ETH.

Nilai aset yang ditukar diperkirakan mendekati US$24 juta saat transaksi dilakukan. Dana hasil penukaran dilaporkan terkonsentrasi dalam satu dompet Ethereum.

Pergerakan aset tersebut tetap dipantau perusahaan keamanan blockchain dan pencari transaksi on-chain. Blockaid menyatakan telah berkoordinasi dengan tim Arbitrum untuk merespons kejadian, menghubungi pihak terdampak, dan membantu membatasi pergerakan dana.

Hingga laporan ini disusun, belum ada keterangan resmi dalam bahan yang menjelaskan gimana private key validator bisa jatuh ke tangan penyerang. Belum ada pula konfirmasi bahwa aset yang dicuri telah dibekukan, dikembalikan, alias sukses dipulihkan.

Baca Juga: Hati-Hati, Ada Serangan Baru di Ekosistem Solana

Hampir Seluruh TVL AFX Terkuras

Serangan ini berakibat besar terhadap likuiditas AFX. Nilai yang dikuras dilaporkan mencakup nyaris seluruh total value locked alias TVL protokol pada saat kejadian.

AFX Trade dikenal sebagai bursa derivatif terdesentralisasi yang menawarkan perdagangan perjanjian perpetual. Protokol tersebut menggunakan USDC sebagai aset penyelesaian.

USDC merupakan stablecoin yang diterbitkan Circle dan dirancang mengikuti nilai dolar Amerika Serikat dengan komparasi mendekati satu banding satu. Karena digunakan sebagai aset penyelesaian, terkurasnya USDC dari bridge berakibat langsung pada likuiditas protokol.

Cross-chain bridge sendiri berfaedah memindahkan representasi aset dari satu blockchain ke blockchain lain. Infrastruktur semacam ini biasanya menahan aset dalam perjanjian pada jaringan asal, lampau menerbitkan alias melepaskan aset senilai sama di jaringan tujuan.

Karena menyimpan biaya besar dan berjuntai pada sistem otorisasi, bridge kerap menjadi sasaran berbobot tinggi bagi pelaku kejahatan siber.

Native Bridge Arbitrum Tidak Terdampak

Pengguna perlu membedakan kejadian AFX dari keamanan jaringan Arbitrum secara keseluruhan. Serangan terjadi pada bridge yang dioperasikan AFX, bukan pada native bridge Arbitrum.

Penegasan dari Blockaid dan Steven Goldfeder menunjukkan bahwa sumber transaksi mencurigakan berada pada protokol pihak ketiga. Dengan demikian, bahan yang tersedia tidak menunjukkan adanya kerentanan pada prasarana utama Arbitrum.

Insiden ini menjadi pengingat bagi protokol DeFi untuk memperkuat lapisan keamanan di luar smart contract. Penyimpanan kunci berlapis, pembatasan penarikan, pemantauan real time, dan prosedur penghentian darurat dapat membantu mengurangi akibat kerugian besar.

Dalam kasus AFX alami serangan, sekitar 24,15 juta USDC terkuras dari bridge AFX di Arbitrum, lima tanda tangan validator disebut menyetujui penarikan, dan biaya kemudian dipindahkan ke Ethereum serta ditukar menjadi sekitar 12.467 ETH.