Tiga Jambatan Rantaian Rentas Dirompak dalam 24 Jam: $35.5 Juta Lesap

Kira-kira 24.15 juta USDC telah dicuri, yang mana penggodam segera menukarnya kepada kira-kira 12,467.4 ETH . Pada 25 Julai, penggodam mula menukar ETH kepada BTC melalui THORChain. Dalam urus niaga pertama yang diketahui, 655.4 ETH ditukar dengan 18.86 BTC. Penganalisis rantaian EmberCN menandakan ini sebagai aktiviti pengubahan wang yang berterusan, dengan menyatakan majoriti syiling yang dicuri masih berada di dalam dompet penggodam pada masa laporan .

AFX Trade menawarkan ganjaran $7.2 juta — penggodam boleh menyimpan 30% daripada dana yang dicuri jika 70% (kira-kira $16.9M) dikembalikan . Pengasas bersama Offchain Labs, Steven Goldfeder, mengesahkan bahawa serangan itu menyasarkan jambatan pihak ketiga, bukan infrastruktur asli Arbitrum .

Jambatan Verus-Ethereum — $7.54 Juta (23 Julai)

Jambatan Verus-Ethereum telah dikosongkan pada 23 Julai melalui import rantaian rentas palsu — kontrak dan laluan masuk yang sama yang dieksploitasi dalam serangan Mei 2026 yang mengakibatkan kerugian $11.58 juta. Blockaid mengesahkan bahawa serangan itu menggunakan semula laluan import jambatan untuk mencetuskan pembayaran sebelah Ethereum yang tidak disokong .

Kira-kira $7.54 juta telah dicuri dalam bentuk eter (ETH), bitcoin bertoken (tBTC), dan pelbagai stablecoin termasuk USDC, USDT, EURC, MKR, dan scrvUSD. Penggodam menukar hasil kepada kira-kira 3,916.1 ETH, dan sebahagian dana kemudiannya dihalakan ke arah Tornado Cash .

Ini adalah pelanggaran utama kedua jambatan Verus dalam tempoh kira-kira dua bulan, menimbulkan persamaan serius sama ada punca masalah itu pernah dibaiki sepenuhnya. Blockaid menyatakan bahawa urus niaga Julai datang daripada penggodam dan dompet yang berbeza daripada eksploitasi Mei, bermakna kelemahan itu boleh dieksploitasi secara bebas .

B² Network — $3.86 Juta (23 Julai)

B² Network, penyelesaian penskalaan Bitcoin, kehilangan kira-kira 8.591 juta token B2 (bernilai ~$3.86 juta) apabila penggodam mendapat akses tanpa kebenaran kepada kuasa peningkatan untuk kontrak staking tokennya di BNB Chain. Ini adalah eksploitasi keistimewaan pentadbiran, bukan kelemahan rantaian tradisional .

Penggodam menjual token B2 untuk 5,409 WBNB (~$3.11 juta), merentas ke Ethereum, dan dana dilaporkan sedang dihalakan ke arah Zcash melalui NEAR Intents . Penganalisis rantaian mencatatkan bahawa dompet yang bertanggungjawab untuk kecurian itu telah diberikan peranan istimewa yang diperlukan sejak 2025 — peranan yang hanya ditarik balik selepas pemindahan tanpa kebenaran berlaku, mencadangkan kemungkinan kebocoran kelayakan orang dalam .

B² Network menghentikan staking dan menawarkan imuniti undang-undang kepada penggodam sebagai pertukaran untuk bayaran balik separa, dengan pulangan 10% dilaporkan dibincangkan. Protokol itu berkata ia akan memberi pampasan penuh kepada pengguna yang terjejas .

Ringkasan Kerugian Gabungan

Apa yang Tiga Eksploitasi Ini Dedahkan

Pengurusan kunci luar rantaian kekal sebagai pautan paling lemah. Eksploitasi AFX bukanlah bug protokol tetapi kegagalan penjagaan kunci — lima tandatangan pengesah panas terjejas dan digunakan untuk memenuhi korum jambatan. Firma keselamatan Blockaid menyatakan bahawa logik rantaian berfungsi seperti yang direka .

Kelemahan berulang tidak diselesaikan sepenuhnya. Jambatan Verus telah dieksploitasi melalui vektor laluan import yang sama dua kali dalam tempoh dua bulan, mencadangkan pembaikan Mei 2026 tidak lengkap atau seni bina asasnya cacat .

Kuasa peningkatan pentadbiran adalah titik kegagalan tunggal. Eksploitasi B² Network menunjukkan bahawa peranan istimewa (kunci peningkatan kontrak) boleh sama bahayanya dengan kunci peribadi, dan pendedahannya membolehkan penggodam mengosongkan keseluruhan bekalan token tanpa mengeksploitasi sebarang bug logik kontrak pintar .

Infrastruktur pengubahan wang adalah matang. Penggodam AFX memindahkan USDC yang dicuri ke ETH dalam masa beberapa minit, kemudian mula menukar ETH kepada BTC melalui THORChain pada 25 Julai, menunjukkan bahawa pertukaran atom rantaian rentas dan pertukaran terdesentralisasi kini menjadi laluan standard untuk menyembunyikan hasil eksploitasi jambatan . Penggodam B² Network juga menyalurkan dana melalui NEAR Intents ke arah Zcash .