Tre Bridge DeFi Drenati in 24 Ore: La Timeline degli Attacchi da 35,5 Milioni di Dollari del Luglio 2026

AFX Trade — 24,15 Milioni di Dollari (22 Luglio)

Il più grande dei tre exploit ha preso di mira AFX Trade, un exchange decentralizzato di perpetuals operante su Arbitrum . La società di sicurezza Blockaid ha rilevato l'exploit verso le 21:30 UTC del 22 luglio 2026 .

L'attaccante ha compromesso cinque delle sette chiavi di firma a caldo (hot-signing keys) dei validatori del bridge. La logica del contratto intelligente on-chain non è stata aggirata: cinque firme di validatori legittimi hanno autorizzato il prelievo, il che significa che il contratto intelligente ha eseguito esattamente ciò per cui era stato progettato . L'attaccante ha drenato circa 24,15 milioni di dollari in USDC dal bridge cross-chain di AFX, ha trasferito i fondi su Ethereum e li ha scambiati per circa 12.467,5 ETH, consolidando gli ETH in un unico wallet .

AFX Trade ha risposto sospendendo le operazioni del bridge, avviando un'indagine con esperti di sicurezza esterni e offrendo pubblicamente all'hacker una ricompensa del 30% (circa 7,2 milioni di dollari) per la restituzione del rimanente 70% dei fondi . Il protocollo ha dichiarato che la sua infrastruttura di trading, la mainnet e altri componenti non sono stati compromessi . Offchain Labs, lo sviluppatore di Arbitrum, ha confermato che il bridge nativo di Arbitrum non è stato violato — è stato colpito solo il bridge di terze parti gestito da AFX .

Bridge Verus-Ethereum — 7,54 Milioni di Dollari (23 Luglio)

Il bridge cross-chain Verus-Ethereum è stato colpito intorno alle 03:45 UTC del 23 luglio 2026 . Il vettore d'attacco è stata una prova cross-chain contraffatta: l'attaccante ha sfruttato il "percorso di importazione" del bridge per attivare pagamenti sul lato Ethereum che non erano supportati da corrispondenti asset bloccati sulla chain Verus .

Fondamentalmente, si trattava dello stesso contratto e della stessa vulnerabilità utilizzata in un exploit da 11,58 milioni di dollari nel maggio 2026 — un difetto che non era stato completamente corretto . Dopo l'attacco di maggio, Verus aveva recuperato la maggior parte dei fondi tramite una ricompensa, per poi ridepositare i fondi recuperati nello stesso bridge l'8 luglio 2026 — appena due settimane prima del secondo exploit .

L'attaccante ha drenato circa 7,54 milioni di dollari in un mix di asset tra cui circa 1.137 ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD . Gli asset rubati sono stati convertiti in circa 3.916,1 ETH e poi inviati a Tornado Cash per il mixing . Le società di sicurezza Blockaid e PeckShield hanno indagato sull'incidente, che ha suscitato forti critiche per la vulnerabilità irrisolta .

B² Network — 3,86 Milioni di Dollari (23 Luglio)

Il B² Network, un progetto Bitcoin L2 sulla BNB Chain, ha perso circa 3,86 milioni di dollari in un attacco rilevato dall'analista on-chain Specter il 23 luglio (UTC+8) . A differenza degli altri due incidenti, questo non è stato una violazione crittografica del bridge, ma una compromissione di una chiave amministrativa: l'attaccante ha ottenuto accesso non autorizzato a un'autorità di aggiornamento del contratto, permettendogli di prosciugare i token B2 .

L'attaccante ha drenato circa 8,591 milioni di token B2, li ha scambiati per 5.409 WBNB (circa 3,11 milioni di dollari), ha trasferito i fondi su Ethereum e li ha presumibilmente instradati verso Zcash tramite NEAR Intents . La pressione di vendita derivante dal dump ha fatto precipitare il prezzo di B2 . B² Network ha risposto sospendendo lo staking dei token dopo aver rilevato l'accesso non autorizzato .

Il Riciclaggio dell'Attaccante di AFX Trade tramite THORChain

Il 25 luglio 2026 — circa tre giorni dopo l'exploit iniziale — l'hacker di AFX Trade ha iniziato attivamente a riciclare i fondi rubati . L'attaccante ha utilizzato THORChain, un protocollo di liquidità cross-chain decentralizzato, per scambiare ETH in BTC . Questo metodo bypassa i requisiti KYC degli exchange centralizzati ed è comunemente utilizzato per l'offuscamento.

Secondo i rapporti pubblicati il 25 luglio, circa 655 ETH (dei ~12.467,5 ETH totali) erano stati convertiti in circa 18,86 BTC . Gli analisti on-chain Ash e EmberCN hanno riferito che l'hacker ha iniziato gli swap circa un'ora prima della pubblicazione dei rapporti . La maggior parte dei circa 12.467 ETH rimaneva al momento nel wallet dell'hacker, con la conversione in BTC tramite THORChain ancora in corso .

Punti Chiave

• Nessuno dei tre attacchi ha coinvolto la rottura della crittografia — tutti sono derivati da chiavi private compromesse o falle logiche irrisolte nei contratti intelligenti .
• L'exploit del bridge Verus-Ethereum è stata una ripetizione di una vulnerabilità nota risalente al maggio 2026, evidenziando il rischio di una correzione insufficiente dopo gli exploit iniziali .
• Tutti e tre gli attaccanti hanno seguito uno schema di rapida conversione degli asset rubati in ETH o BTC e instradamento dei fondi attraverso strumenti focalizzati sulla privacy (Tornado Cash, THORChain, NEAR Intents) per offuscare le tracce .
• Le perdite combinate di circa 35,55 milioni di dollari hanno spinto le perdite legate ai bridge del luglio 2026 a quasi 100 milioni di dollari, superando il totale di giugno .