AFX Trade treo thưởng 7,2 triệu USD để thu hồi 70% trong số 24,15 triệu USDC bị đánh cắp

AFX Trade, sàn giao dịch phi tập trung hoạt động trên Arbitrum, vừa bị thất thoát 24,15 triệu USDC sau một vụ tấn công nhằm vào cầu nối (bridge). Dự án hiện công khai đề xuất một thỏa thuận "tiền thưởng whitehat", về thực chất là thương lượng với kẻ tấn công: cho phép đối tượng này giữ lại 30% số tiền đã lấy, đổi lại hoàn trả 70% còn lại. Đề xuất được Ken C, trưởng bộ phận tăng trưởng của AFX, đăng tải công khai; mức "thưởng" tương ứng khoảng 7,2 triệu USD. Diễn biến vụ việc Vụ khai thác xảy ra ngày 22/7/2026 và nhắm vào custody bridge của AFX Trade, không phải lỗ hổng hợp đồng thông minh của dự án hay hạ tầng cốt lõi của Arbitrum. Kẻ tấn công đã chiếm quyền các khóa ký của bộ xác thực (validator) ngoài chuỗi (offchain). Sau khi xâm nhập, đối tượng rút khoảng 24,15 triệu USDC khỏi bridge, chuyển sang Ethereum rồi hoán đổi thành khoảng 12.467 ETH, khi đó giao dịch quanh mức 1.937 USD/ETH. AFX cho biết đã lập tức tạm dừng bridge ngay sau khi phát hiện vi phạm. Hai đơn vị bảo mật Blockaid và PeckShield xác nhận vụ tấn công, đồng thời nhấn mạnh bridge gốc (native bridge) của Arbitrum không bị ảnh hưởng. Một phần của vấn đề lớn hơn AFX không phải nạn nhân duy nhất trong tuần đó. Vụ việc nằm trong làn sóng tấn công tập trung diễn ra ngày 22 và 23/7, gây thiệt hại cộng dồn vượt 35 triệu USD trên nhiều nền tảng. Ở góc nhìn rộng hơn, riêng tháng 7/2026 ghi nhận gần 97 triệu USD tổn thất liên quan hack, theo dữ liệu từ Blockaid và PeckShield. Trường hợp của AFX đặc biệt đáng chú ý vì không xuất phát từ lỗi smart contract. Các hợp đồng vận hành đúng thiết kế; điểm yếu nằm ở khâu quản trị khóa validator ngoài chuỗi. Kiểm toán smart contract chỉ bao phủ một lớp bảo mật, trong khi an ninh vận hành quanh quản lý khóa, lựa chọn validator và kiến trúc bridge thường ít được người dùng soi xét hơn, dù đây là bề mặt tấn công đáng kể.