Três pontes DeFi drenadas em 24 horas: uma linha do tempo dos exploits de US$ 35,5 milhões em julho de 2026

AFX Trade — US$ 24,15 milhões (22 de julho)

O maior dos três exploits teve como alvo a AFX Trade, uma exchange descentralizada de contratos perpétuos que opera na Arbitrum . A empresa de segurança Blockaid detectou o exploit por volta das 21h30 UTC do dia 22 de julho de 2026 .

O atacante comprometeu cinco das sete chaves de assinatura a quente dos validadores da ponte. A lógica do contrato inteligente on-chain não foi burlada — cinco assinaturas legítimas de validadores autorizaram o saque, o que significa que o contrato inteligente executou exatamente o que foi programado . O atacante drenou aproximadamente US$ 24,15 milhões em USDC da ponte cross-chain da AFX, transferiu os fundos para a Ethereum e os trocou por cerca de 12.467,5 ETH, consolidando o ETH em uma única carteira .

A AFX Trade respondeu suspendendo as operações da ponte, iniciando uma investigação com especialistas externos em segurança e oferecendo publicamente ao hacker uma recompensa de 30% (cerca de US$ 7,2 milhões) pela devolução dos 70% restantes dos fundos . O protocolo afirmou que sua infraestrutura de negociação, mainnet e outros componentes não foram afetados . A Offchain Labs, que desenvolve a Arbitrum, confirmou que a ponte nativa da Arbitrum não foi comprometida — apenas a ponte de terceiros operada pela AFX .

Ponte Verus-Ethereum — US$ 7,54 milhões (23 de julho)

A ponte cross-chain Verus-Ethereum foi atingida por volta das 03h45 UTC do dia 23 de julho de 2026 . O vetor de ataque foi uma prova cross-chain forjada: o atacante explorou o "caminho de importação" da ponte para acionar pagamentos no lado da Ethereum que não eram lastreados por ativos bloqueados correspondentes na chain Verus .

Crucialmente, este foi o mesmo caminho de entrada do contrato e a mesma vulnerabilidade usada em um exploit de US$ 11,58 milhões em maio de 2026 — uma falha que não havia sido totalmente corrigida . Após o ataque de maio, a Verus recuperou a maior parte dos fundos por meio de uma recompensa e os redepositou na mesma ponte em 8 de julho de 2026 — apenas duas semanas antes do exploit repetido .

O atacante drenou aproximadamente US$ 7,54 milhões em uma mistura de ativos, incluindo aproximadamente 1.137 ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD . Os ativos roubados foram convertidos em cerca de 3.916,1 ETH e depois enviados para o Tornado Cash para mistura . As empresas de segurança Blockaid e PeckShield investigaram o incidente, que atraiu fortes críticas pela vulnerabilidade não resolvida .

B² Network — US$ 3,86 milhões (23 de julho)

A B² Network, um projeto Bitcoin L2 na BNB Chain, perdeu aproximadamente US$ 3,86 milhões em um ataque detectado pelo analista de chain Specter em 23 de julho (UTC+8) . Diferentemente dos outros dois incidentes, este não foi uma quebra criptográfica de ponte, mas sim um comprometimento de chave administrativa: o atacante obteve acesso não autorizado a uma autoridade de atualização de contrato, permitindo drenar tokens B2 .

O atacante drenou aproximadamente 8,591 milhões de tokens B2, trocou-os por 5.409 WBNB (~US$ 3,11 milhões), transferiu os fundos para a Ethereum e, segundo relatos, os direcionou para a Zcash via NEAR Intents . A pressão de venda com a descarga fez o preço do B2 cair drasticamente . A B² Network respondeu suspendendo o staking de tokens após a detecção do acesso não autorizado .

Lavagem de dinheiro do atacante da AFX Trade via THORChain

Em 25 de julho de 2026 — cerca de três dias após o exploit inicial — o hacker da AFX Trade começou a lavar ativamente os fundos roubados . O atacante usou a THORChain, um protocolo de liquidez cross-chain descentralizado, para trocar ETH por BTC . Este método burla os requisitos de KYC de exchanges centralizadas e é comumente usado para ofuscação.

De acordo com relatórios publicados em 25 de julho, aproximadamente 655 ETH (de um total de ~12.467,5 ETH) haviam sido convertidos em cerca de 18,86 BTC . Os analistas on-chain Ash e EmberCN relataram que o hacker iniciou as trocas cerca de uma hora antes da publicação dos relatórios . A maior parte dos aproximadamente 12.467 ETH permanecia na carteira do hacker no momento, com a conversão para BTC via THORChain ainda em andamento .

Principais conclusões

• Nenhum dos três ataques envolveu criptografia quebrada — todos resultaram de chaves privadas comprometidas ou falhas de lógica em contratos inteligentes não resolvidas .
• O exploit da ponte Verus-Ethereum foi uma repetição de uma vulnerabilidade conhecida de maio de 2026, destacando o risco de remediação insuficiente após exploits iniciais .
• Todos os três atacantes seguiram um padrão de converter rapidamente os ativos roubados em ETH ou BTC e rotear os fundos por meio de ferramentas focadas em privacidade (Tornado Cash, THORChain, NEAR Intents) para ofuscar o rastro .
• As perdas combinadas de ~US$ 35,55 milhões elevaram as perdas relacionadas a pontes em julho de 2026 para quase US$ 100 milhões, superando o total de junho .