AFX Trade perde 24 milioni di dollari dopo il compromesso di una bridge key

Offchain Labs dice che la bridge nativa di Arbitrum non è stata colpita; l’attacco ha preso di mira le validator signing keys e ha rimesso al centro i rischi delle cross-chain bridge nella DeFi.

In breve

• AFX Trade ha perso mercoledì circa 24,15 milioni di dollari dopo che un attaccante è riuscito a compromettere le validator signing keys di una bridge su Arbitrum.
• Secondo Blockaid, il prelievo di 24.150.000 USDC è stato autorizzato correttamente da cinque hot-validator signatures ed è stato poi sbloccato dopo 200 secondi.
• L’attacco è arrivato mentre il volume di trading su AFX stava crescendo rapidamente, riportando l’attenzione sul fatto che le cross-chain bridge restano uno dei punti più fragili della DeFi.

AFX Trade è stato prosciugato mercoledì per circa 24,15 milioni di dollari (21,2 milioni di euro), dopo che un attaccante è riuscito a mettere le mani sulle validator signing keys di una bridge su Arbitrum. Dai dati on-chain risulta un prelievo in USDC, mentre Offchain Labs ha precisato che la bridge nativa di Arbitrum non è stata né hackerata né sfruttata.

La bridge ha approvato il prelievo

La società di sicurezza Blockaid ha segnalato che la logica on-chain non è stata aggirata. A firmare il prelievo da 24.150.000 USDC sono state cinque hot-validator signatures, abbastanza per raggiungere il quorum richiesto di circa due terzi. A quel punto il contratto ha considerato la transazione valida e i fondi sono stati rilasciati dopo un periodo di disputa di 200 secondi.

Dal punto di vista tecnico, l’episodio è diverso da un classico smart contract-exploit. La bridge ha eseguito il comportamento previsto, ma le chiavi che autorizzavano il prelievo sembrano essere finite nelle mani sbagliate. Gli USDC sottratti sono stati poi convertiti su Ethereum in circa 12.467 ETH, per un valore di circa 24 milioni di dollari (21 milioni di euro), e secondo i tracker on-chain ora si trovano in un unico wallet.

La crescita è coincisa con l’attacco

Il tempismo non è passato inosservato: nei giorni precedenti l’attacco, l’attività di trading su AFX era aumentata in modo marcato. Secondo DefiLlama, a metà luglio il volume giornaliero dei perpetuals ha toccato il livello più alto degli ultimi mesi, mentre il protocollo attirava più utenti e, di conseguenza, più depositi. La somma sottratta rappresentava praticamente quasi tutto il valore totale bloccato nel protocollo.

Per chi segue il settore crypto in Europa, il caso è rilevante perché le cross-chain bridge sono da tempo uno dei punti più deboli della DeFi. Spesso gestiscono importi molto elevati e si appoggiano a un numero limitato di validator o di segnali di approvazione, quindi il compromesso delle chiavi di accesso può avere un impatto diretto sulla sicurezza dell’intero sistema. Arbitrum aveva già registrato all’inizio di quest’anno un incidente di sicurezza legato al L1 Timelock Contract, a conferma del fatto che i rischi possono nascere anche fuori dal layer principale di una rete. E in un altro attacco su Arbitrum era emerso proprio che una chiave compromessa può bastare per spostare grandi somme, come nel caso di Ostium.

Più pressione sulla sicurezza DeFi

L’attacco arriva in un momento già complicato per la crypto security. Nel secondo trimestre, i danni causati dagli hack sono stati tra i più alti di sempre, mentre anche altri protocolli legati ad Arbitrum sono finiti nel mirino di recente, tra cui un oracle exploit sulla piattaforma RWA Ostium. L’incidente su AFX ricorda anche altri casi in cui gli attaccanti non hanno forzato un contratto, ma hanno svuotato i fondi sfruttando un accesso prolungato ai privilegi.