DeFi 领域又发生了一起数百万美元的黑客攻击，而这次依然是链下妥协 ，而非智能合约漏洞。
AFX Trade ，一家以美元挂钩稳定币 USDC 结算的去中心化永续合约交易所，于周三遭受攻击 ，约 2 ，415 万美元资金被盗 。攻击者入侵了该协议在 Arbitrum 上运行的跨链桥的验证者签名密钥，区块链数据 显示 。
换句话说 ，智能合约执行了其预定的功能——验证签名并执行交易。问题出在生成这些签名的私钥上 ，因攻击者已攻破了私有验证者签名密钥（这些热密钥由桥接运营商或验证者离线持有） 。
Offchain Labs 联合创始人 Steven Goldfeder，负责开发和维护该网络 ，表示 Arbitrum 原生桥“未被以任何方式黑客攻击或利用” ，该交易起源于第三方协议 。
对 Arbitrum 自有桥接的攻击将标志着整个 Layer-2 网络的风险，但其上运行的受损协议则属于局部故障。
桥本身的代码逻辑没有出现任何故障 。跨链桥是基于区块链的工具 ，用于在不同网络之间转移代币 ，包括那些最初不支持的网络 。
安全公司 Blockaid 表示，链上逻辑并未被绕过。相反，桥梁的五个热验证者签名——即授权提款的批准——同意将 24 ，150 ，000 USDC 转移到攻击者的钱包，从而达成了桥梁所需的约三分之二法定人数 。
因此 ，此次事件与今年四月发生的约2.85亿美元的Drift Protocol损失类似 ，攻击者花费数月时间逐步获得特权访问权限，而非通过攻击合约本身 。
这一亏损正值加密安全领域经历严峻考验之际 ，第二季度在最差的季度之列 围绕创纪录的黑客事件及一系列基于 Arbitrum 协议的攻击展开 ，其中包括导致 的预言机漏洞利用提取了另外1，800万美元 来自 RWA 平台 Ostium 的消息 ，一周前接连遭遇打击。
今年的大多数黑客攻击和漏洞利用针对的是链下组件 ，而非智能合约本身的漏洞 。
该合约将此次提款视为有效，并在200秒的争议期后释放了资金 。该桥接器完全按照设计的功能运行 ，但授权提款的密钥显然落入了错误之手。
攻击者随后将被盗的 USDC 跨链转移至以太坊 ，并兑换了约 12，467 枚 ETH，价值约 2400 万美元。链上追踪数据显示 ，这些资金近来 集中存放于同一个钱包中 。
AFX 的交易活动在攻击前显著攀升 ，根据 ，7 月中旬永续合约的日交易量飙升至数月高点DefiLlama ，随着该协议吸引了用户及其存款 。
此次约2400万美元的资金被抽走 ，几乎耗尽了该协议的全部锁定总价值，这意味着攻击者几乎在资金最为充裕的时刻清空了金库。
