AFX Trade pierde 24 millones de dólares en un ataque a su puente y ofrece al hacker una recompensa del 30%

AFX Trade, un exchange descentralizado de perpetuos sobre Arbitrum, sufrió el 22 de julio un ataque que vació cerca de 24,15 millones de dólares. El atacante logró comprometer las claves de firma de los validadores del puente operado por la plataforma, retiró USDC del protocolo, lo transfirió a Ethereum y lo canjeó de inmediato por unos 12.467 ETH, a un precio medio aproximado de 1.937 dólares por token. Como respuesta, AFX Trade hizo una oferta pública: permitir al atacante conservar el 30% de los fondos sustraídos, alrededor de 7,2 millones de dólares, si devuelve el 70% restante. El incidente no afectó a la infraestructura del puente nativo de Arbitrum. Arbitrum no fue vulnerado y su mecanismo principal de bridging sigue intacto; el problema se ubicó en la capa que AFX Trade mantenía sobre un puente de terceros. Al obtener acceso a las claves de los validadores del puente gestionado por AFX, el atacante pudo mover los fondos sin restricciones, trasladar los 24,15 millones de USDC desde Arbitrum a Ethereum y convertirlos a ETH. El patrón recuerda a ataques recientes. En mayo de 2026, un exploit similar afectó al puente Verus-Ethereum, con un método comparable para drenar fondos. La firma de seguridad Blockaid clasificó el caso de AFX Trade dentro de un conjunto más amplio de incidentes al que denominó "Hackers Day". Según su seguimiento, las pérdidas totales por hackeos durante julio de 2026 rozan ya los 97 millones de dólares. La estrategia de ofrecer una recompensa del 30% se ha vuelto cada vez más habitual en el sector cripto tras este tipo de intrusiones: recuperar el 70% suele considerarse preferible a no recuperar nada, y el análisis forense on-chain complica cada vez más el blanqueo de grandes cantidades sin acabar siendo identificado. Los puentes siguen siendo uno de los vectores de ataque más rentables en DeFi desde hace varios años. La razón es estructural: concentran grandes volúmenes de activos bloqueados y dependen de conjuntos de validadores o esquemas multisig que crean puntos únicos de fallo. En este caso, el eslabón débil fue un puente de terceros mantenido por el equipo del protocolo, no por la red de Capa 2 subyacente. La cifra cercana a 97 millones de dólares en pérdidas por hackeos en julio de 2026, según Blockaid, apunta a un problema que va a más. Para los inversores y traders que operan con DEX de perpetuos en redes de Capa 2, el ataque a AFX Trade subraya la necesidad de evaluar la infraestructura que hay bajo la interfaz de trading. Un motor de perpetuos puede estar bien diseñado, pero si el puente del que depende utiliza claves de validación centralizadas, el riesgo se dispara cuando esas claves se ven comprometidas.