Um grupo de hackers ligado à Coreia do Norte fugiu com US$ 24,15 milhões em USDC de um protocolo descentralizado de derivativos — e o método não teve nada a ver com contratos inteligentes defeituosos. O processo de recuperação do exploit da bridge AFX está agora entrando em uma fase pública crítica, com o protocolo prestes a revelar um plano de boa vontade para os usuários afetados em 3 de agosto, após um dos ataques de cadeia de suprimentos tecnicamente mais sofisticados vistos no DeFi neste ano.
Summary
Principais pontos
- A AFX divulgará um plano de recuperação de boa vontade para os usuários afetados pelo exploit em 3 de agosto de 2026.
- Cerca de US$ 24,15 milhões em USDC foram roubados da bridge de custódia da AFX em 22 de julho e posteriormente convertidos em aproximadamente 12.467 ETH.
- O ataque teve origem em uma campanha de engenharia social iniciada em 9 de julho, visando um desenvolvedor da AFX por meio de um falso recrutador se passando pela Oddium Lab.
- A bridge nativa e a rede da Arbitrum não foram comprometidas; a violação ficou totalmente contida na infraestrutura gerenciada pela AFX.
- Provas forenses ligam o ataque ao UNC4899, também conhecido como TraderTraitor, um grupo de ameaças apoiado pela RPDC rastreado pela Mandiant, Microsoft Threat Intelligence, FBI e CISA.
AFX anuncia plano de boa vontade para vítimas do exploit de US$ 24,15 milhões na bridge
O anúncio, publicado em 31 de julho, confirmou que a AFX está finalizando um plano de boa vontade e divulgará todos os detalhes na segunda-feira, 3 de agosto. A equipe reconheceu que investidores, funcionários e apoiadores iniciais foram todos afetados e pediu paciência à comunidade enquanto a proposta é concluída. A estrutura exata de qualquer mecanismo de compensação ou recuperação ainda não foi divulgada.
O que torna este momento significativo é o cálculo de confiança mais amplo que agora enfrenta a base de usuários da AFX. Um plano de boa vontade normalmente indica que a restituição total dos fundos roubados não é garantida — ele representa o esforço de um protocolo para demonstrar responsabilidade quando a recuperação junto ao atacante permanece incerta. Nenhum relatório público confirmou que qualquer parte dos ativos roubados foi devolvida.
A AFX havia proposto anteriormente um acordo de recompensa de white hat ao atacante, oferecendo permitir que ele ficasse com 30% dos fundos roubados em troca da devolução dos 70% restantes. O resultado dessa oferta não foi confirmado publicamente.
Como um falso recrutador derrubou uma bridge de US$ 24 milhões
O ataque não explorou um bug no código on-chain da AFX. Em vez disso, começou com uma mensagem em 9 de julho — quase duas semanas antes de qualquer movimentação de fundos.
De acordo com o detalhado post-mortem da AFX, o atacante se passou por um recrutador de uma empresa chamada Oddium Lab e abordou um dos desenvolvedores da AFX. O desenvolvedor foi convencido a clonar o que parecia ser um repositório de software legítimo. Escondida dentro dele havia uma configuração maliciosa do Git que executava uma payload automaticamente durante um fluxo de trabalho padrão do Git, dando ao atacante um ponto de apoio inicial na estação de trabalho do desenvolvedor.
A partir daí, a intrusão escalou de forma metódica. O atacante expandiu o acesso pelos sistemas internos de desenvolvimento e acabou fazendo upload de um plugin Groovy malicioso no repositório de artefatos JFrog da AFX. Isso lhe deu execução remota de código dentro do ambiente de entrega de software do protocolo. De forma crítica, eventos repetidos de falta de memória no servidor JFrog foram sinalizados como problemas operacionais rotineiros — mesmo com assistência do fornecedor — permitindo que o plugin malicioso persistisse por múltiplas reinicializações sem acionar uma resposta de segurança.
A análise forense descobriu que binários de sistema haviam sido substituídos por versões trojanizadas, bibliotecas compartilhadas maliciosas haviam sido injetadas e o atacante havia tentado apagar logs de segurança antes que partes do malware travassem. Logs do SELinux acabaram preservando evidências críticas: tráfego de comando e controle de saída, execução de shell e padrões de execução de código em memória que se tornaram centrais para a investigação.
Comprometimento de validadores permitiu o roubo final
Uma vez inserido no ambiente de desenvolvimento, o atacante fez pivot para a infraestrutura operacional por meio de um serviço interno de gerenciamento baseado em Ansible que já detinha acesso privilegiado aos nós validadores. Nenhuma nova credencial precisou ser roubada. O atacante simplesmente explorou relações de confiança internas existentes para enviar payloads maliciosos a um subconjunto de validadores.
Os validadores infectados baixaram uma payload de segunda fase de um servidor remoto e então interferiram no tratamento de mensagens de consenso. Às 21h27 UTC de 22 de julho, esses validadores comprometidos coassinaram uma transação fraudulenta da bridge, transferindo cerca de US$ 24,15 milhões em USDC para fora da bridge de custódia da AFX. O USDC roubado posteriormente foi movido da Arbitrum para a Ethereum, onde foi convertido em aproximadamente 12.467 ETH.
A bridge nativa da Arbitrum nunca esteve em risco
Uma distinção fundamental surgiu logo no início da resposta ao incidente: a violação ficou totalmente contida na infraestrutura gerenciada e operada pela AFX. A bridge nativa da Arbitrum herda sua segurança da arquitetura do rollup, que em última instância depende das garantias de segurança da Ethereum — um modelo de confiança fundamentalmente diferente das bridges de terceiros como a bridge de custódia da AFX, que operam seus próprios conjuntos de validadores e práticas de gerenciamento de chaves.
O cofundador e CEO da Offchain Labs, Steven Goldfeder, confirmou publicamente que a transação suspeita se originou de um protocolo de terceiros, não da bridge principal da Arbitrum. A empresa de segurança em blockchain Blockaid também investigou e chegou à mesma conclusão. O post-mortem da AFX corroborou essas descobertas, afirmando que nenhuma evidência de comprometimento da rede Arbitrum ou de sua bridge nativa foi encontrada.
A distinção é extremamente importante para os usuários. Ela traça uma linha clara entre as garantias de segurança que acompanham a arquitetura de rollup da Arbitrum e aquelas oferecidas por protocolos de terceiros que operam de forma independente dentro do ecossistema. Apenas em julho de 2026 foram registradas pelo menos 14 violações de segurança no setor cripto, segundo reportagens do Crypto Briefing — um volume que dá peso adicional às decisões de seleção de bridges.
Atribuição à RPDC e a ameaça de cadeia de suprimentos ao DeFi
A AFX afirmou que suas descobertas forenses são consistentes com a atribuição externa que vincula o ataque ao UNC4899, também conhecido como TraderTraitor — um grupo de ameaças ligado à RPDC rastreado de forma independente pela Mandiant, Microsoft Threat Intelligence, FBI e CISA. As técnicas observadas se alinham com um padrão que atores estatais norte-coreanos vêm refinando ao longo de múltiplos roubos de cripto de alto perfil: mirar desenvolvedores por meio de falsas ofertas de emprego, estabelecer persistência profunda dentro de sistemas de build e então explorar relações de confiança internas para autorizar transações fraudulentas.
O que este incidente ilustra é uma vulnerabilidade estrutural que auditorias de segurança em blockchain raramente abordam. Auditorias de contratos inteligentes verificam o código on-chain. Elas não dizem nada sobre se um desenvolvedor pode clonar um repositório malicioso ou se um pipeline de CI/CD poderia ser usado para comprometer silenciosamente nós validadores. O esforço de recuperação do exploit da bridge AFX é, nesse sentido, um estudo de caso de como a superfície de ataque de protocolos DeFi se estende muito além da própria blockchain.
Reforma de segurança pós-ataque
A AFX agiu rapidamente na remediação da infraestrutura. O protocolo reconstruiu sistemas afetados, rotacionou credenciais operacionais, aumentou a sensibilidade de monitoramento e migrou ambientes de produção para uma arquitetura mais isolada usando segmentação de confiança zero. Medidas adicionais planejadas para os próximos meses incluem monitoramento comportamental expandido, revisões de segurança obrigatórias antes de reiniciar serviços de produção, exercícios mais amplos de caça a ameaças e treinamento de funcionários especificamente voltado a táticas de engenharia social.
O incidente também se encaixa em um padrão mais amplo de ataques off-chain que afetam protocolos DeFi. Em 30 de julho, a Ostium divulgou que um exploit separado de US$ 23,75 milhões em USDC resultou de acesso não autorizado à infraestrutura off-chain que permitiu que dados fraudulentos de preço BTC-USD drenassem seu cofre de liquidez — enquanto seus contratos inteligentes permaneceram intactos. A empresa de pagamentos sediada em Singapura Triple-A relatou de forma semelhante acesso não autorizado a carteiras de tesouraria de propriedade da empresa, embora tenha afirmado que os fundos dos clientes não foram afetados.
O anúncio do plano de boa vontade de 3 de agosto será acompanhado de perto em toda a comunidade DeFi — não apenas pelo que a AFX oferecerá aos usuários afetados, mas pelo que sinaliza sobre como os protocolos lidam com responsabilidade quando atacantes patrocinados por Estados estão envolvidos e os fundos permanecem não recuperados.
Perguntas frequentes
O que causou o exploit da bridge da AFX?
O ataque começou com uma campanha de engenharia social em 9 de julho, na qual um atacante se passou por um recrutador da Oddium Lab e convenceu um desenvolvedor da AFX a clonar um repositório Git malicioso. Isso deu ao atacante um ponto de apoio inicial, que mais tarde foi usado para comprometer sistemas internos de desenvolvimento, fazer upload de um plugin Groovy malicioso no repositório JFrog e, por fim, obter acesso a nós validadores por meio de um serviço interno de gerenciamento Ansible.
Quanto foi roubado no exploit da bridge da AFX e o que aconteceu com os fundos?
Aproximadamente US$ 24,15 milhões em USDC foram roubados da bridge de custódia da AFX em 22 de julho de 2026. Os fundos foram movidos da Arbitrum para a Ethereum e convertidos em cerca de 12.467 ETH. Nenhum relatório público confirmou que qualquer parte dos ativos roubados foi recuperada.
O exploit afetou a bridge nativa ou a rede da Arbitrum?
Não. O exploit teve como alvo apenas a própria bridge de custódia da AFX. A bridge nativa e a rede da Arbitrum não foram comprometidas, conforme confirmado pelo post-mortem da AFX, pelo CEO da Offchain Labs, Steven Goldfeder, e pela empresa de segurança em blockchain Blockaid.
Qual é a resposta planejada da AFX ao exploit?
A AFX divulgará um plano de recuperação de boa vontade para usuários afetados em 3 de agosto de 2026. O protocolo já reconstruiu a infraestrutura-chave, rotacionou credenciais, implementou segmentação de confiança zero e aprimorou o monitoramento como parte de sua reforma de segurança pós-ataque. A estrutura exata de compensação para usuários afetados não havia sido divulgada publicamente antes do anúncio de 3 de agosto.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”O que causou o exploit da bridge da AFX?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O ataque começou com uma campanha de engenharia social em 9 de julho, na qual um atacante se passou por um recrutador da Oddium Lab e convenceu um desenvolvedor da AFX a clonar um repositório Git malicioso. Isso deu ao atacante um ponto de apoio inicial, que mais tarde foi usado para comprometer sistemas internos de desenvolvimento, fazer upload de um plugin Groovy malicioso no repositório JFrog e, por fim, obter acesso a nós validadores por meio de um serviço interno de gerenciamento Ansible.”}},{“@type”:”Question”,”name”:”Quanto foi roubado no exploit da bridge da AFX e o que aconteceu com os fundos?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Aproximadamente US$ 24,15 milhões em USDC foram roubados da bridge de custódia da AFX em 22 de julho de 2026. Os fundos foram movidos da Arbitrum para a Ethereum e convertidos em cerca de 12.467 ETH. Nenhum relatório público confirmou que qualquer parte dos ativos roubados foi recuperada.”}},{“@type”:”Question”,”name”:”O exploit afetou a bridge nativa ou a rede da Arbitrum?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Não. O exploit teve como alvo apenas a própria bridge de custódia da AFX. A bridge nativa e a rede da Arbitrum não foram comprometidas, conforme confirmado pelo post-mortem da AFX, pelo CEO da Offchain Labs, Steven Goldfeder, e pela empresa de segurança em blockchain Blockaid.”}},{“@type”:”Question”,”name”:”Qual é a resposta planejada da AFX ao exploit?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A AFX divulgará um plano de recuperação de boa vontade para usuários afetados em 3 de agosto de 2026. O protocolo já reconstruiu a infraestrutura-chave, rotacionou credenciais, implementou segmentação de confiança zero e aprimorou o monitoramento como parte de sua reforma de segurança pós-ataque. A estrutura exata de compensação para usuários afetados não havia sido divulgada publicamente antes do anúncio de 3 de agosto.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
