AFX-Trade-Hack: Perp-DEX auf Arbitrum verliert 24 Mio. USDC durch kompromittierte Bridge-Schlüssel

Kaum eine Woche nach dem Oracle-Exploit bei Ostium erwischt es die nächste Perpetual-DEX auf Arbitrum. Am 22. Juli 2026 verlor AFX Trade rund 24,15 Mio. USDC, nachdem ein Angreifer die Validator-Signaturschlüssel einer Bridge unter seine Kontrolle gebracht hatte, die das Protokoll selbst betreibt. Die Beute wanderte nach Ethereum und wurde dort in etwa 12.467 ETH getauscht – damit war der Total Value Locked der Plattform praktisch abgeräumt.

Auch hier lag die Schwachstelle nicht im Smart-Contract-Code, sondern in der Infrastruktur drumherum: in einer Bridge, die AFX in Eigenregie betrieb – nicht in der nativen Bridge von Arbitrum.

Was ist bei AFX Trade passiert?

Die Sicherheitsfirma Blockaid meldete den Exploit am 22. Juli um 21:30 Uhr UTC. Der Angreifer erlangte die Kontrolle über die Validator-Signaturschlüssel der USDC-Custody-Bridge von AFX – also genau jener Komponente, die Cross-Chain-Auszahlungen autorisiert. Weil er genügend Signaturen für das Quorum der Bridge zusammenbekam, wirkte die betrügerische Auszahlung für das System völlig legitim.

Genau das ist der springende Punkt: Laut Blockaid arbeitete die On-Chain-Logik exakt wie vorgesehen. Fünf Hot-Validator-Signaturen erreichten die nötige Schwelle für die Freigabe – der Contract gab die Mittel frei, ohne dass irgendein Bug ausgelöst wurde. Das Problem war schlicht, dass die Schlüssel hinter diesen Signaturen in falschen Händen lagen.

Nach der Plünderung brachte der Angreifer die USDC von Arbitrum nach Ethereum und tauschte sie zu einem Durchschnittskurs von rund 1.937 USD in etwa 12.467 ETH. Laut PeckShield landete das getauschte ETH gebündelt in einer einzigen Wallet.

Wurde das Arbitrum-Netzwerk selbst gehackt?

Nein – und diese Unterscheidung ist entscheidend. Der Exploit traf eine externe Bridge, die AFX auf Arbitrum aufsetzt, nicht die native Bridge oder das Layer-2 selbst. Steven Goldfeder, Mitgründer von Offchain Labs (dem Team hinter Arbitrum), stellte klar, dass die native Bridge in keiner Weise gehackt oder ausgenutzt wurde.

Ein Angriff auf Arbitrums eigene Bridge hätte das gesamte Layer-2-Ökosystem erschüttert. Eine kompromittierte App, die obendrauf sitzt, ist dagegen ein isolierter Ausfall – schlimm für AFX und seine Nutzer, aber keine systemische Gefahr für andere Arbitrum-Protokolle.

Warum sind Bridges ein so beliebtes Ziel?

Bridges gehören seit Jahren zu den lukrativsten Angriffszielen in DeFi – und das aus strukturellen Gründen. Sie verwahren große Mengen gesperrter Assets und stützen sich auf Validator-Sets oder Multisig-Konstruktionen, um Transfers freizugeben. Damit konzentriert sich das Vertrauen auf wenige Schlüssel. Sind die kompromittiert, winkt der On-Chain-Code Auszahlungen anstandslos durch, solange sie korrekt signiert aussehen.

Der Fall AFX passt haargenau in dieses Muster. Die Trading-Engine und Arbitrums Kern-Infrastruktur blieben unangetastet; das einzige schwache Glied war die Signatur-Ebene einer Bridge, die das Team selbst betrieb. Das spiegelt die übergeordnete Geschichte von 2026 wider: Die meisten großen DeFi-Verluste gehen auf kompromittierte Off-Chain-Komponenten zurück, nicht auf fehlerhaften Solidity-Code.

Wie viel wurde gestohlen – und wo ist das Geld jetzt?

Rund 24,15 Mio. USDC wurden abgezogen – nahezu der komplette TVL des Protokolls. Anders als bei vielen Exploits, bei denen die Gelder in einem Mixer verschwinden, ist die Spur hier noch sichtbar: Der Angreifer tauschte die USDC in etwa 12.467 ETH und ließ sie in einer bekannten Ethereum-Wallet liegen, ohne dass größere Folgeabhebungen gemeldet wurden. Die Sicherheitsfirmen Blockaid und PeckShield verfolgen die Adresse aktiv.

Dass die Gelder noch nicht gewaschen sind, lässt ein schmales Zeitfenster für die Rückholung – und genau das versucht AFX zu nutzen.

Was unternimmt AFX, um die Gelder zurückzuholen?

Wenige Stunden nach dem Angriff legte AFX die betroffene Bridge still und machte dem Angreifer ein öffentliches Angebot: 70 % der Beute zurückgeben, die restlichen 30 % – rund 7,2 Mio. USD – als „White-Hat-Belohnung“ behalten. Das Team nannte dafür eine konkrete Ethereum-Adresse.

Das ist inzwischen ein gängiges Vorgehen bei Krypto-Exploits. Die Rechnung ist nüchtern: 70 % zurückzubekommen ist besser als gar nichts, und moderne On-Chain-Forensik macht es zunehmend schwer, große Summen zu waschen, ohne früher oder später identifiziert zu werden. Kritik gibt es trotzdem: Manche Sicherheitsforscher warnen, dass solche Zahlungen ein „erst stehlen, dann verhandeln“ salonfähig machen. Ob es hier funktioniert, hängt allein davon ab, ob dem Angreifer ein sauberer Ausstieg lieber ist als das Risiko, das ETH bewegen zu wollen.

Wie genau die Schlüssel kompromittiert wurden, ist bislang Gegenstand der Untersuchung. Die Gelder liegen weiterhin in der Wallet des Angreifers.

Was bedeutet der AFX-Hack für DeFi-Trader?

Wer Perpetual-DEXs auf Layer-2-Netzwerken nutzt, sollte hinter die Trading-Oberfläche schauen. Ein Protokoll kann eine grundsolide Perp-Engine haben und trotzdem leergeräumt werden, wenn die zugrunde liegende Bridge auf zentralisierten Validator-Schlüsseln beruht. Dass AFX und Ostium innerhalb einer Woche getroffen wurden – beide auf Arbitrum, beide über Off-Chain-Schwachstellen –, macht diesen Punkt schwer zu ignorieren.

Praktische Lehren für Trader: Prüfe, ob eine Plattform auf eine selbst betriebene Bridge setzt, sei vorsichtig damit, wie viel Kapital du an einem einzigen Handelsplatz liegen lässt, und verfolge bei einem laufenden Vorfall die offiziellen Kanäle statt der Gerüchte-Threads.

Wo kannst du stattdessen auf regulierten Plattformen handeln?

Vorfälle wie der AFX-Hack zeigen den Preis, den man bei ungeprüften oder schwach regulierten Handelsplätzen zahlt. In der EU setzt inzwischen die MiCA-Verordnung einen einheitlichen Standard: Seit dem 1. Juli 2026 braucht jede Plattform, die EU-Kunden bedient, eine CASP-Zulassung (Crypto-Asset Service Provider). Sie deckt Governance, den Schutz von Kundengeldern, IT-Sicherheit und Geldwäscheprävention ab. Ende Juli 2026 führt das ESMA-Register knapp 300 zugelassene CASPs im EWR – eine Zulassung gilt per Passporting im gesamten Binnenmarkt.

Wenn du lieber auf regulierten Plattformen handelst, statt dein Geld einer Bridge- oder Oracle-abhängigen Perp-DEX auszusetzen, lohnt ein Vergleich nach Lizenzstatus, Gebühren und verfügbaren Assets. Unsere Vergleichsseite für Broker und Börsen stellt genau das gegenüber, damit du eine Plattform findest, die zu deinem Handelsstil passt.

Eine regulierte Option ist XTB, ein börsennotierter, etablierter Broker, der neben seinem regulierten Brokerage-Angebot auch den Spot-Handel mit Krypto für Kunden im EWR anbietet (über seine Zulassung in Zypern). Ein Konto eröffnest du hier.