Três pontes cross-chain sofrem ataques em 24 horas e perdem US$ 35,5 milhões

A AFX Trade ofereceu uma recompensa de US$ 7,2 milhões — o atacante poderia ficar com 30% dos fundos roubados se 70% (cerca de US$ 16,9 milhões) fossem devolvidos . O cofundador da Offchain Labs, Steven Goldfeder, confirmou que o ataque mirou uma ponte de terceiros, não a infraestrutura nativa da Arbitrum .

Ponte Verus-Ethereum — US$ 7,54 milhões (23 de julho)

A ponte Verus-Ethereum foi drenada em 23 de julho por meio de uma importação cross-chain forjada — o mesmo contrato e caminho de entrada explorados em um ataque de maio de 2026 que custou US$ 11,58 milhões. A Blockaid confirmou que o ataque reutilizou o caminho de importação da ponte para acionar pagamentos não lastreados no lado do Ethereum .

Aproximadamente US$ 7,54 milhões foram roubados em ether (ETH), bitcoin tokenizado (tBTC) e uma variedade de stablecoins, incluindo USDC, USDT, EURC, MKR e scrvUSD. O atacante converteu o butim em cerca de 3.916,1 ETH, e parte dos fundos foi subsequentemente direcionada ao Tornado Cash .

Este foi o segundo grande ataque à ponte da Verus em cerca de dois meses, levantando sérias questões sobre se a causa raiz foi realmente corrigida. A Blockaid observou que a transação de julho veio de um atacante e uma carteira diferentes do ataque de maio, o que significa que a vulnerabilidade era explorável de forma independente .

B² Network — US$ 3,86 milhões (23 de julho)

A B² Network, uma solução de escalabilidade para Bitcoin, perdeu aproximadamente 8,591 milhões de tokens B2 (no valor de ~US$ 3,86 milhões) quando um atacante obteve acesso não autorizado à autoridade de upgrade do seu contrato de staking na BNB Chain. Trata-se de um ataque por privilégio administrativo, não de uma vulnerabilidade on-chain tradicional .

O atacante vendeu os tokens B2 por 5.409 WBNB (~US$ 3,11 milhões), fez a ponte para o Ethereum e os fundos estavam sendo direcionados para a Zcash via NEAR Intents . Analistas on-chain notaram que a carteira responsável pelo roubo detinha o papel privilegiado necessário desde 2025 — função revogada somente após a transferência não autorizada, o que sugere um possível vazamento de credenciais internas .

A B² Network pausou o staking e ofereceu imunidade legal ao atacante em troca de um reembolso parcial, com uma devolução de 10% supostamente discutida. O protocolo afirmou que compensaria integralmente os usuários afetados .

Perdas combinadas em resumo

O que esses três ataques revelam

O gerenciamento de chaves externas continua sendo o elo mais fraco. O ataque à AFX não foi um bug de protocolo, mas uma falha na custódia de chaves — cinco assinaturas de validadores ativos foram comprometidas e usadas para atingir o quórum da ponte. A Blockaid observou que a lógica on-chain funcionou exatamente como projetada .

Vulnerabilidades repetidas não estão sendo completamente corrigidas. A ponte da Verus foi explorada pelo mesmo vetor de caminho de importação duas vezes em dois meses, sugerindo que a correção de maio de 2026 foi incompleta ou que a arquitetura subjacente era fundamentalmente falha .

A autoridade administrativa de upgrade é um ponto único de falha. O ataque à B² Network mostra que papéis privilegiados (chaves de upgrade de contrato) podem ser tão perigosos quanto chaves privadas, e seu comprometimento permite que atacantes drenem todo o suprimento de tokens sem explorar nenhum bug de lógica de contrato inteligente .

A infraestrutura de lavagem está madura. O atacante da AFX moveu USDC roubado para ETH em minutos e depois começou a converter ETH em BTC via THORChain em 25 de julho, demonstrando que swaps atômicos cross-chain e exchanges descentralizadas são agora o caminho padrão para ofuscar os lucros de ataques a pontes . O atacante da B² Network também roteou fundos através do NEAR Intents em direção à Zcash .