तीन क्रॉस-चेन ब्रिज हैक: $35.5 मिलियन की चोरी, की कॉम्प्रोमाइज़ और एडमिन प्रिविलेज बने कमजोर कड़ी

22 से 23 जुलाई 2026 के बीच, क्रिप्टो दुनिया में एक के बाद एक तीन क्रॉस-चेन प्रोटोकॉल — AFX Trade, Verus-Ethereum और B² Network — हैक हो गए। इन तीनों हमलों में कुल मिलाकर $35 मिलियन से अधिक की चोरी हुई। हैरानी की बात यह है कि हर हमले ने एक अलग तरह की कमजोरी को निशाना बनाया: चुराई गई ऑफ-चेन वैलिडेटर कीज़, एक पुरानी और अनसुलझी इम्पोर्ट-पाथ बग, और अनऑथराइज़्ड कॉन्ट्रैक्ट अपग्रेड अथॉरिटी। AFX Trade के हैकर ने THORChain के ज़रिए फंड को साफ करना शुरू कर दिया है, जबकि प्रभावित प्रोटोकॉल ने बाउंटी और कानूनी छूट की पेशकश की है ।

AFX Trade — $24.15 मिलियन (22 जुलाई)

यह तीनों में सबसे बड़ा हमला था। AFX Trade, जो Arbitrum पर एक डिसेंट्रलाइज़्ड परपेचुअल्स एक्सचेंज है, के क्रॉस-चेन ब्रिज पर हमला हुआ। हैकर ने पाँच हॉट-वैलिडेटर साइनिंग कीज़ को कॉम्प्रोमाइज़ कर लिया। इन पाँच कीज़ के पास कुल 10,000 में से 7,142 वैलिडेटर पावर थी, जो दो-तिहाई कोरम से अधिक है, जिससे वे विथड्रॉल को अथॉराइज़ कर सकते थे ।

सिक्योरिटी फर्म Blockaid ने पुष्टि की कि ऑन-चेन स्मार्ट कॉन्ट्रैक्ट लॉजिक को बायपास नहीं किया गया — ब्रिज के कोड ने बिल्कुल वैसे ही काम किया जैसे उसे करना चाहिए था ।

हैकर ने लगभग 24.15 मिलियन USDC चुराए, जिसे उसने तुरंत करीब 12,467.4 ETH में बदल दिया । 25 जुलाई को, हैकर ने THORChain के ज़रिए ETH को BTC में बदलना शुरू किया। पहले ज्ञात लेन-देन में, 655.4 ETH को 18.86 BTC में एक्सचेंज किया गया। ऑन-चेन एनालिस्ट EmberCN ने इसे जारी मनी-लॉन्ड्रिंग गतिविधि बताया ।

AFX Trade ने हैकर को $7.2 मिलियन का बाउंटी ऑफर किया — अगर वह 70% फंड (लगभग $16.9 मिलियन) लौटा देता है तो वह चुराई गई रकम का 30% अपने पास रख सकता है ।

Verus-Ethereum ब्रिज — $7.54 मिलियन (23 जुलाई)

23 जुलाई को Verus-Ethereum ब्रिज को एक नकली क्रॉस-चेन इम्पोर्ट के ज़रिए क्लीन कर दिया गया। यह वही कॉन्ट्रैक्ट और वही एंट्री पाथ था जिसका इस्तेमाल मई 2026 के हमले में किया गया था, जिसमें $11.58 मिलियन की चोरी हुई थी ।

Blockaid ने पुष्टि की कि इस हमले ने भी ब्रिज के इम्पोर्ट पाथ का फायदा उठाकर Ethereum साइड पर बिना बैकिंग के पेआउट ट्रिगर किए ।

लगभग $7.54 मिलियन की चोरी हुई, जिसमें ETH, tBTC, USDC, USDT, EURC, MKR और scrvUSD शामिल थे। हैकर ने इसे करीब 3,916.1 ETH में बदल दिया, और कुछ फंड को Tornado Cash की ओर रूट किया गया ।

यह करीब दो महीनों में Verus ब्रिज पर दूसरा बड़ा हमला था, जिससे यह सवाल उठता है कि क्या मई 2026 के हमले के बाद रूट कॉज़ को पूरी तरह से ठीक किया गया था ।

B² Network — $3.86 मिलियन (23 जुलाई)

B² Network, जो Bitcoin पर एक स्केलिंग सॉल्यूशन है, पर हमले में चुराए गए B² टोकन की कीमत लगभग $3.86 मिलियन थी। हैकर ने BNB चेन पर स्टेकिंग कॉन्ट्रैक्ट के अपग्रेड अथॉरिटी तक अनऑथराइज़्ड एक्सेस हासिल कर लिया। यह एक एडमिनिस्ट्रेटिव-प्रिविलेज एक्सप्लॉइट था, न कि कोई पारंपरिक ऑन-चेन वल्नरेबिलिटी ।

हैकर ने B2 टोकन को 5,409 WBNB (लगभग $3.11 मिलियन) में बेच दिया, उन्हें Ethereum पर ब्रिज किया, और फंड को NEAR Intents के ज़रिए Zcash की ओर रूट किया जा रहा है ।

B² Network ने स्टेकिंग को रोक दिया और हैकर को आंशिक रिफंड के बदले कानूनी छूट की पेशकश की, जिसमें 10% वापसी पर चर्चा हुई ।

कुल नुकसान एक नज़र में

प्रोटोकॉल	तारीख	राशि	हमले का तरीका
AFX Trade	22 जुलाई	$24.15M	कॉम्प्रोमाइज़्ड ऑफ-चेन वैलिडेटर साइनिंग कीज़
Verus-Ethereum	23 जुलाई	$7.54M	मई 2026 की इम्पोर्ट-पाथ कमजोरी का दोबारा इस्तेमाल
B² Network	23 जुलाई	$3.86M	स्टेकिंग कॉन्ट्रैक्ट पर अनऑथराइज़्ड अपग्रेड अथॉरिटी
कुल		~$35.55M

ये तीनों हमले क्या बताते हैं?

ऑफ-चेन की मैनेजमेंट सबसे बड़ी कमजोरी बनी हुई है। AFX एक्सप्लॉइट कोई प्रोटोकॉल बग नहीं था, बल्कि की कस्टडी की विफलता थी — पाँच हॉट-वैलिडेटर सिग्नेचर कॉम्प्रोमाइज़ किए गए और ब्रिज कोरम को पूरा करने के लिए इस्तेमाल किए गए। सिक्योरिटी फर्म Blockaid ने कहा कि ऑन-चेन लॉजिक ने बिल्कुल डिज़ाइन के अनुसार काम किया ।

पुरानी कमजोरियों को पूरी तरह से ठीक नहीं किया जा रहा है। Verus ब्रिज पर दो महीनों में दूसरी बार उसी इम्पोर्ट-पाथ वेक्टर के ज़रिए हमला हुआ, जो बताता है कि मई 2026 का फिक्स अधूरा था या फिर अंतर्निहित आर्किटेक्चर ही खराब था ।

एडमिनिस्ट्रेटिव अपग्रेड अथॉरिटी एक बड़ा जोखिम है। B² Network का एक्सप्लॉइट दिखाता है कि प्रिविलेज्ड रोल (कॉन्ट्रैक्ट अपग्रेड कीज़) प्राइवेट कीज़ जितने ही खतरनाक हो सकते हैं। इनके कॉम्प्रोमाइज़ होने पर हैकर बिना किसी स्मार्ट कॉन्ट्रैक्ट लॉजिक बग का फायदा उठाए पूरी टोकन सप्लाई खाली कर सकते हैं ।

मनी-लॉन्ड्रिंग इंफ्रास्ट्रक्चर अब बहुत परिपक्व हो गया है। AFX हैकर ने चुराए गए USDC को मिनटों में ETH में बदल दिया, फिर 25 जुलाई को THORChain के ज़रिए ETH को BTC में बदलना शुरू कर दिया। यह दिखाता है कि क्रॉस-चेन एटॉमिक स्वैप और डिसेंट्रलाइज़्ड एक्सचेंजर्स अब ब्रिज एक्सप्लॉइट की कमाई को छिपाने का मानक तरीका बन गए हैं ।