Tři útoky na DeFi mosty během 24 hodin: jak zmizelo 35,55 milionu dolarů
Tři útoky na protokoly DeFi zasáhly během 24 hodin 22.–23. července 2026. Útočník AFX převedl přes THORChain přibližně 655 ETH, tedy asi 1,27 milionu dolarů, na 18,86 BTC.
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
Tři útoky na protokoly DeFi zasáhly během 24 hodin 22.–23. července 2026.
Útočník AFX převedl přes THORChain přibližně 655 ETH, tedy asi 1,27 milionu dolarů, na 18,86 BTC.
AFX Trade pozastavil provoz mostu a nabídl 30% odměnu za vrácení prostředků. B² Network zastavil staking a podle zpráv nabídl právní imunitu při vrácení alespoň 10 % odcizené částky.
Search & fact-check with cited sources for What were the details of the July 22–23, 2026 DeFi bridge exploits that drained AFX Trade ($24.15Conceptual visualization of cross-chain bridge security vulnerabilities. The July 22–23, 2026 exploits drained a combined $35.55 million from three protocols.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What were the details of the July 22–23, 2026 DeFi bridge exploits that drained AFX Trade ($24.15. Article summary: Three DeFi bridge exploits struck within a 24-hour window on July 22–23, 2026, draining a combined ~$35.55 million from AFX Trade, the Verus-Ethereum bridge, and B² Network. The AFX Trade attacker subsequently moved fund. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
Během jediného dne zasáhly decentralizované finance (DeFi) tři vážné bezpečnostní incidenty. Mezi 22. a 23. červencem 2026 byly z protokolů AFX Trade, Verus-Ethereum Bridge a B² Network odčerpány prostředky v celkové hodnotě přibližně 35,55 milionu dolarů.
Nešlo o prolomení kryptografie. V jednotlivých případech hrály hlavní roli kompromitované privátní klíče, neoprávněný přístup k administrátorským pravomocím nebo neopravená chyba v logice chytrého kontraktu.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Tři útoky na DeFi mosty během 24 hodin: jak zmizelo 35,55 milionu dolarů"?
Tři útoky na protokoly DeFi zasáhly během 24 hodin 22.–23. července 2026.
What are the key points to validate first?
Tři útoky na protokoly DeFi zasáhly během 24 hodin 22.–23. července 2026. Útočník AFX převedl přes THORChain přibližně 655 ETH, tedy asi 1,27 milionu dolarů, na 18,86 BTC.
What should I do next in practice?
AFX Trade pozastavil provoz mostu a nabídl 30% odměnu za vrácení prostředků. B² Network zastavil staking a podle zpráv nabídl právní imunitu při vrácení alespoň 10 % odcizené částky.
22. července, přibližně 21:30 UTC: AFX Trade přišel o zhruba 24,15 milionu dolarů v USDC.
23. července, přibližně 03:45 UTC: Verus-Ethereum Bridge byl vyčerpán o dalších 7,54 milionu dolarů.
23. července: B² Network oznámil neoprávněný přístup ke kontraktu a ztrátu přibližně 3,86 milionu dolarů v tokenech B2.
25. července: Útočník AFX začal přes THORChain měnit ukradené ETH za BTC.
AFX Trade: největší ztráta ve výši 24,15 milionu dolarů
Největší útok zasáhl AFX Trade, decentralizovanou burzu pro obchodování perpetual kontraktů fungující na Arbitrum. Bezpečnostní společnost Blockaid incident zachytila přibližně ve 21:30 UTC 22. července 2026.
Útočník získal kontrolu nad pěti ze sedmi horkých podpisových klíčů validátorů mostu. Samotná logika chytrého kontraktu přitom nebyla obejita. Výběr schválilo pět platných podpisů validátorů, takže kontrakt provedl přesně to, k čemu byl naprogramován. Problém spočíval v tom, že legitimní klíče se dostaly do neoprávněných rukou.
Z mostu zmizelo přibližně 24,15 milionu USDC. Útočník následně převedl prostředky na Ethereum a směnil je za zhruba 12 467,5 ETH, které soustředil do jediné peněženky.
AFX Trade provoz mostu pozastavil, zahájil vyšetřování s externími bezpečnostními odborníky a veřejně nabídl útočníkovi 30% odměnu, přibližně 7,2 milionu dolarů, pokud vrátí zbývajících 70 % prostředků. Společnost uvedla, že její obchodní infrastruktura, mainnet ani další části protokolu zasaženy nebyly.
Incident se navíc netýkal nativního mostu sítě Arbitrum. Offchain Labs, vývojář Arbitra, potvrdil, že napaden byl pouze most provozovaný třetí stranou, tedy AFX Trade.
Verus-Ethereum Bridge: opakování známé chyby
Verus-Ethereum Bridge byl napaden přibližně ve 03:45 UTC 23. července. Útočník zneužil takzvanou importní cestu mostu a vytvořil falešný cross-chain důkaz. Ten vyvolal výplaty na ethereové straně, přestože na Verusu nebyla odpovídající uzamčená aktiva, která by je kryla.
Nejzávažnější okolností je, že šlo o stejnou vstupní cestu kontraktu a stejný typ zranitelnosti, jaký byl využit při útoku v květnu 2026. Tehdy škoda dosáhla přibližně 11,58 milionu dolarů a chyba nebyla před druhým incidentem plně odstraněna.
Po květnovém útoku Verus získal většinu prostředků zpět díky odměně a 8. července je znovu vložil do stejného mostu. K opakovanému vyčerpání tak došlo jen o dva týdny později.
Tentokrát útočník odčerpal zhruba 7,54 milionu dolarů v různých aktivech, mimo jiné přibližně 1 137 ETH, tBTC, USDC, USDT, EURC, MKR a scrvUSD. Odcizené tokeny byly převedeny do přibližně 3 916,1 ETH a následně odeslány do služby Tornado Cash, která umožňuje směšování transakcí a ztěžuje sledování původu prostředků.
Incident vyšetřovaly společnosti Blockaid a PeckShield. Opakování stejného scénáře vyvolalo kritiku, že původní zranitelnost nebyla dostatečně opravena.
Třetí incident se týkal B² Network, projektu typu Bitcoin Layer 2 fungujícího na BNB Chain. Útok 23. července podle časového pásma UTC+8 zaznamenal blockchainový analytik Specter.
V tomto případě nešlo o prolomení kryptografického mechanismu mostu. Útočník získal neoprávněný přístup k pravomoci pro aktualizaci kontraktu, tedy k administrátorskému oprávnění, které umožňuje měnit jeho logiku. Díky tomu mohl odčerpat tokeny B2.
Z adresy zmizelo přibližně 8,591 milionu tokenů B2 v hodnotě kolem 3,86 milionu dolarů. Útočník je směnil za 5 409 WBNB v hodnotě zhruba 3,11 milionu dolarů, prostředky převedl na Ethereum a podle dostupných zpráv je směroval k Zcash prostřednictvím služby NEAR Intents.
Prodej tak velkého množství tokenů vytvořil výrazný prodejní tlak a prudce snížil cenu B2. B² Network po odhalení neoprávněného přístupu pozastavil staking. Podle zpráv tým útočníka kontaktoval on-chain a nabídl mu právní imunitu, pokud do 24 hodin vrátí nejméně 10 % odcizených prostředků, tedy přibližně 386 000 dolarů.
Jak útočník AFX použil THORChain
Přibližně tři dny po útoku, 25. července 2026, začal útočník AFX aktivně přesouvat ukradené prostředky. Použil THORChain, decentralizovaný protokol likvidity pro směny mezi různými blockchainy, a prostřednictvím něj převáděl ETH na BTC.
Takový postup umožňuje směnu bez využití centralizované burzy, a tedy bez jejího standardního ověřování totožnosti KYC. V praxi může ztížit sledování toku prostředků, i když transakce na veřejných blockchainech zůstávají dohledatelné.
K okamžiku zveřejnění zpráv bylo přes THORChain převedeno přibližně 655 ETH z celkových zhruba 12 467,5 ETH. Výsledkem bylo asi 18,86 BTC. On-chain analytici Ash a EmberCN uvedli, že směny začaly přibližně hodinu před zveřejněním jejich zjištění.
Většina ukradených ETH tehdy stále zůstávala v peněžence útočníka a převod do bitcoinu pokračoval.
Co útoky ukazují
Kryptografie zůstala neprolomena. Všechny tři incidenty souvisely s kompromitovanými klíči, administrátorskými oprávněními nebo chybami v logice chytrých kontraktů.
Oprava chyby musí být skutečně ověřena. Případ Verusu ukazuje, jak nebezpečné může být znovu naplnit most prostředky, pokud původní zranitelnost nebyla definitivně odstraněna.
Útočníci prostředky rychle směňují. V těchto případech se objevily převody do ETH či BTC a využití nástrojů zaměřených na větší soukromí nebo přeshraniční směny, včetně Tornado Cash, THORChain a NEAR Intents.
Červencové ztráty v oblasti mostů se přiblížily 100 milionům dolarů. Samotný útok na AFX podle dostupných údajů zvýšil červencové ztráty související s mosty na přibližně 97 milionů dolarů, tedy nad červnových 75,32 milionu.
