AFX Trade Rugi US$24 Juta Akibat Eksploitasi Bridge, Tawarkan Bounty 30% untuk Peretas

AFX Trade, bursa perpetual terdesentralisasi yang berjalan di Arbitrum, kehilangan dana senilai US$24,15 juta pada 22 Juli. Pelaku disebut berhasil mengambil alih kunci penandatanganan (signing keys) validator pada bridge milik platform, menguras USDC dari protokol, memindahkannya ke Ethereum, lalu menukarnya menjadi sekitar 12.467 ETH pada harga rata-rata kurang lebih US$1.937 per ETH. Sebagai langkah respons, AFX Trade mengumumkan tawaran terbuka: peretas boleh mempertahankan 30% dari dana yang dicuri (sekitar US$7,2 juta) apabila 70% sisanya dikembalikan. Eksploitasi menargetkan bridge pihak ketiga yang dioperasikan AFX Trade, bukan infrastruktur bridge native Arbitrum. Arbitrum tidak mengalami kebobolan dan mekanisme bridging intinya tetap aman. Titik lemah berada pada lapisan yang dikelola AFX di atas jaringan tersebut. Dengan akses ke kunci penandatanganan validator bridge yang dioperasikan AFX, pelaku dapat memindahkan dana tanpa pembatasan berarti. Dana US$24,15 juta dalam USDC kemudian dijembatani dari Arbitrum ke Ethereum dan dikonversi menjadi ETH. Pola serangan ini tergolong "buku teks". Insiden serupa pernah menimpa bridge Verus-Ethereum pada Mei 2026 dengan metode yang sebanding untuk menguras aset. Perusahaan keamanan Blockaid memasukkan eksploitasi AFX Trade ke dalam klaster serangan yang mereka sebut "Hackers Day". Total kerugian akibat peretasan sepanjang Juli 2026 dilaporkan telah mendekati US$97 juta. Tawaran bounty 30% yang disodorkan AFX Trade juga makin jamak dalam kasus eksploitasi kripto. Pertimbangannya pragmatis: pemulihan 70% dana lebih baik daripada tidak kembali sama sekali, sementara forensik on-chain membuat upaya mencuci dana dalam jumlah besar semakin sulit dilakukan tanpa risiko teridentifikasi. Serangan terhadap bridge masih menjadi salah satu vektor paling menguntungkan di DeFi selama beberapa tahun terakhir. Secara struktural, bridge menyimpan kumpulan aset terkunci yang besar dan bergantung pada set validator atau skema multisig, sehingga menciptakan titik kegagalan yang terpusat. Kasus AFX Trade menegaskan pola tersebut: bridge pihak ketiga yang dipelihara tim protokol, bukan oleh jaringan Layer 2 dasarnya, justru menjadi mata rantai terlemah. Data Blockaid yang mencatat hampir US$97 juta kerugian peretasan pada Juli 2026 mengindikasikan persoalan ini memburuk, bukan membaik. Bagi investor dan trader yang menggunakan DEX perpetual di jaringan Layer 2, insiden ini menjadi pengingat untuk menilai infrastruktur di bawah antarmuka perdagangan. Mesin kontrak pintar untuk perdagangan perpetual bisa saja kuat, tetapi bila bridge yang digunakan bergantung pada kunci validator yang tersentralisasi, seluruh sistem tetap rentan ketika kunci tersebut berhasil dikompromikan.