AFX Alami Serangan: 24,15 Juta USDC Dikuras dari Bridge

Kincai Media - Protokol perdagangan derivatif terdesentralisasi AFX Trade mengalami kejadian keamanan besar setelah bridge lintas jaringan yang dioperasikannya dibobol; insiden ini membuat AFX alami serangan dan sekitar 24,15 juta USDC terkuras dari perjanjian bridge di jaringan Arbitrum.

Kabar AFX alami serangan pertama kali terdeteksi oleh perusahaan keamanan on-chain Blockaid pada Rabu, 22 Juli 2026 pukul 21.30 UTC alias Kamis, 23 Juli 2026 pukul 04.30 WIB.

Blockaid menegaskan serangan tersebut menyasar bridge yang dikelola AFX secara independen dan bukan native bridge resmi milik Arbitrum.

Salah satu pendiri Offchain Labs, Steven Goldfeder, juga memastikan transaksi mencurigakan berasal dari protokol pihak ketiga yang mengoperasikan bridge tersebut.

AFX Alami Serangan pada Bridge Sendiri

Berdasarkan kajian awal, serangan tidak tampak disebabkan celah pada logika smart contract. Kesimpulan sementara menunjuk pada kompromi private key yang digunakan validator bridge untuk menandatangani dan menyetujui penarikan dana.

Menurut Blockaid, lima tanda tangan validator digunakan untuk menyetujui penarikan 24.150.000 USDC. Jumlah ini memenuhi kuorum sekitar dua pertiga yang dipersyaratkan oleh mekanisme multisig protokol.

Karena tanda tangan kriptografis itu sah, smart contract menganggap permintaan penarikan valid sehingga kontrak melepaskan aset setelah melewati masa sanggah atau dispute period sekitar 200 detik.

Risiko Hot Key Jadi Sorotan

Insiden ini menyoroti risiko operasional dari penggunaan hot key pada infrastruktur kripto. Hot key yang terus terhubung ke jaringan mempermudah operasional sehari-hari, namun juga meningkatkan paparan terhadap penyusupan.

Berbeda dengan cold key yang disimpan luring, hot key yang online lebih rentan jika pengelolaan kunci dan kontrol akses tidak ketat. Dalam kasus bridge, kontrol atas private key validator menjadi titik tunggal yang sangat sensitif.

Oleh karena itu, kejadian AFX alami serangan memperlihatkan bahwa audit smart contract saja tidak cukup; keamanan operasional, prosedur pengelolaan kunci, server penandatangan, dan kebijakan internal juga harus diperkuat.

Dana Dipindah ke Ethereum

Setelah dana keluar dari bridge AFX di Arbitrum, pelaku memindahkan USDC hasil rampasan ke jaringan Ethereum. Dana tersebut kemudian ditukar menjadi sekitar 12.467 Ether alias ETH.

Nilai aset yang ditukar diperkirakan mendekati US$24 juta pada saat transaksi berlangsung. Dana hasil konversi tersebut dilaporkan terkonsentrasi di satu alamat dompet Ethereum.

Pergerakan aset itu terus dipantau oleh perusahaan keamanan blockchain dan pemantau on-chain; Blockaid menyatakan telah berkoordinasi dengan tim Arbitrum untuk merespons kejadian, menghubungi pihak terdampak, dan membantu membatasi pergerakan dana lebih lanjut.

Sampai laporan ini disusun, belum ada keterangan resmi yang menjelaskan bagaimana private key validator bisa jatuh ke tangan penyerang, dan belum ada konfirmasi bahwa aset yang dicuri telah dibekukan atau dipulihkan.

Hampir Seluruh TVL AFX Terkuras

Serangan berdampak besar terhadap likuiditas AFX; jumlah USDC yang dikuras dilaporkan mencakup hampir seluruh total value locked alias TVL protokol pada waktu kejadian.

AFX Trade dikenal sebagai bursa derivatif terdesentralisasi yang menawarkan perdagangan perjanjian perpetual dan menggunakan USDC sebagai aset penyelesaian.

USDC adalah stablecoin yang diterbitkan Circle dan dirancang mengikuti nilai dolar AS, sehingga terkurasnya USDC dari bridge langsung mengurangi likuiditas operasional protokol.

Cross-chain bridge berfungsi memindahkan representasi aset antar blockchain dengan menahan aset pada jaringan asal dan menerbitkan atau melepaskan aset setara di jaringan tujuan; karena menyimpan nilai besar dan menggunakan skema otorisasi kompleks, bridge sering menjadi target utama pelaku kejahatan siber.

Native Bridge Arbitrum Tidak Terdampak

Pengguna sebaiknya membedakan bahwa insiden ini terkait bridge pihak ketiga yang dioperasikan AFX, bukan kerentanan pada infrastruktur utama Arbitrum. Penegasan Blockaid dan pernyataan Steven Goldfeder menunjukkan sumber transaksi mencurigakan berada di protokol eksternal.

Insiden ini menjadi pengingat bagi pelaku DeFi agar memperkuat lapisan keamanan operasional di luar smart contract, seperti penyimpanan kunci berlapis, pembatasan penarikan, pemantauan real time, dan prosedur penghentian darurat untuk mengurangi dampak kerugian besar.

Dalam ringkasan kejadian AFX alami serangan, sekitar 24,15 juta USDC terkuras dari bridge AFX di Arbitrum, lima tanda tangan validator menyetujui penarikan, dan dana kemudian dipindahkan ke Ethereum serta ditukar menjadi sekitar 12.467 ETH.