À peine une semaine après que l'exploit oracle Ostium ait frappé Arbitrum, un autre DEX perpétuel sur le même réseau a été vidé. Le 22 juillet 2026, AFX Trade a perdu environ 24,15 millions de dollars USDC après qu'un attaquant a compromis les clés de signature du validateur derrière un pont exploité par le protocole. Les fonds volés ont été transférés vers Ethereum et échangés contre environ 12 467 ETH, vidant ainsi presque la valeur totale verrouillée de la plateforme.
Encore une fois, le point faible n’était pas le code des contrats intelligents. Il s'agissait de l'infrastructure hors chaîne qui l'entourait, et dans ce cas, d'un pont qu'AFX gérait lui-même plutôt que du pont natif d'Arbitrum.
Qu'est-il arrivé à AFX Trade ?
La société de sécurité Blockaid a signalé l'exploit à 21h30 UTC le 22 juillet. L'attaquant a pris le contrôle des clés de signature du validateur pour le pont de garde USDC d'AFX – le composant qui autorise les retraits inter-chaînes. Avec suffisamment de signatures pour atteindre le quorum du pont, le retrait malveillant semblait tout à fait légitime aux yeux du système.
Ce détail compte : Blockaid a noté que la logique en chaîne fonctionnait exactement comme prévu. Cinq signatures de validateurs à chaud ont atteint le seuil nécessaire pour approuver le transfert, de sorte que le contrat a débloqué les fonds sans qu'aucun bug ne soit déclenché. Le problème était que les clés produisant ces signatures étaient entre de mauvaises mains.
Après avoir vidé le coffre-fort, l'attaquant a relié l'USDC d'Arbitrum à Ethereum et l'a échangé contre environ 12 467 ETH, à une moyenne d'environ 1 937 $ par jeton. Selon PeckShield, l'ETH converti a été regroupé dans un seul portefeuille.
Le réseau Arbitrum lui-même a-t-il été piraté ?
Non – et cette distinction est importante. L'exploit a touché un pont tiers qu'AFX maintient au-dessus d'Arbitrum, et non le pont natif d'Arbitrum ou la couche 2 plus large. Steven Goldfeder, co-fondateur d'Offchain Labs (l'équipe derrière Arbitrum), a déclaré que le pont natif du réseau n'avait pas été piraté ou exploité de quelque manière que ce soit.
Une brèche dans le propre pont d'Arbitrum aurait eu des répercussions sur l'ensemble de l'écosystème de la couche 2. En revanche, une application compromise posée dessus est un échec contenu – mauvais pour AFX et ses utilisateurs, mais pas une menace systémique pour les autres protocoles Arbitrum.
Pourquoi les ponts sont-ils une cible si commune ?
Les ponts sont l’un des vecteurs d’attaque les plus lucratifs de la DeFi depuis des années, et la raison est structurelle. Ils détiennent de vastes pools d’actifs verrouillés et dépendent d’ensembles de validateurs ou d’accords multisig pour autoriser les transferts. Cela concentre la confiance dans un petit jeu de clés – et si ces clés sont compromises, le code en chaîne approuvera volontiers les retraits qui semblent correctement signés.
L’incident de l’AFX correspond précisément à ce modèle. Le moteur de trading et l'infrastructure de base d'Arbitrum sont restés intacts ; le seul maillon faible était la couche de signature d'un pont que l'équipe exploitait elle-même. Cela fait écho à l’histoire plus large de 2026, dans laquelle la plupart des pertes DeFi majeures provenaient de composants hors chaîne compromis plutôt que d’une solidité défectueuse.
Vous voulez une alternative réglementée ? Parcourez notre liste d'échanges sous licence MiCA
Quelle somme a été volée et où est l’argent maintenant ?
Environ 24,15 millions de dollars de l'USDC ont été drainés, soit près de la totalité de la TVL du protocole. Contrairement à de nombreux exploits où les fonds disparaissent dans un mélangeur, ici la piste est toujours visible : l'attaquant a échangé l'USDC contre environ 12 467 ETH et l'a laissé dans un portefeuille Ethereum connu, sans qu'aucun retrait important n'ait été signalé. Les sociétés de sécurité Blockaid et PeckShield recherchent activement l'adresse.
Le fait que les fonds n’aient pas encore été blanchis laisse une fenêtre étroite de récupération – et c’est exactement ce que l’AFX tente d’exploiter.
Que fait AFX pour récupérer les fonds ?
Quelques heures après l'attaque, AFX a suspendu le pont compromis et a fait une offre publique à l'attaquant : restituer 70 % des actifs volés et conserver les 30 % restants, soit environ 7,2 millions de dollars, à titre de « prime du chapeau blanc ». L’équipe a publié une adresse Ethereum spécifique pour le retour.
C’est devenu un manuel standard dans les exploits cryptographiques. La logique est simple : récupérer 70 % vaut mieux ne rien récupérer, et la médecine légale moderne en chaîne rend le blanchiment d'une somme importante de plus en plus difficile sans finalement être identifié. Cela n'est cependant pas sans critiques : certains chercheurs en sécurité affirment que le fait de payer les attaquants normalise une dynamique « voler d'abord, négocier ensuite ». Que cela fonctionne ici dépend entièrement de la question de savoir si l'attaquant préfère une sortie propre au risque d'essayer de déplacer l'ETH.
Pour l'instant, la méthode exacte par laquelle les clés ont été compromises fait toujours l'objet d'une enquête et les fonds restent dans le portefeuille de l'attaquant.
Que signifie le hack AFX pour les traders DeFi ?
Pour quiconque utilise des DEX perpétuels sur les réseaux de couche 2, la leçon est de regarder sous l'interface de trading. Un protocole peut avoir des contrats intelligents solides pour son moteur de perps et être néanmoins vidé si le pont sur lequel il s'appuie dispose de clés de validation centralisées. Les incidents AFX et Ostium en une seule semaine – tous deux sur Arbitrum, tous deux compromis hors chaîne – rendent ce point difficile à ignorer.
Points pratiques à retenir pour les traders : comprenez si une plateforme repose sur un pont auto-géré, soyez prudent quant au montant de capital que vous laissez parqué dans un lieu et suivez les canaux officiels plutôt que les rumeurs lors d'un incident actif.
Où pouvez-vous échanger des crypto-monnaies sur des plateformes réglementées ?
Des incidents comme le piratage d’AFX rappellent les compromis qui s’imposent avec les sites non audités ou peu réglementés. Dans l'UE, le cadre MiCA établit désormais une norme commune : depuis le 1er juillet 2026, toute plateforme au service des clients de l'UE a besoin d'une autorisation de fournisseur de services de crypto-actifs (CASP), couvrant la gouvernance, la protection des actifs des clients, la sécurité informatique et les exigences AML. Fin juillet 2026, le registre de l'ESMA répertoriait près de 300 CASP autorisés dans l'EEE, avec une autorisation unique valable dans tous les États membres.
Si vous préférez négocier sur des plates-formes réglementées et conformes plutôt que d'exposer des fonds à un pont ou à un DEX dépendant d'Oracle, cela vaut la peine de comparer les sites en fonction de leur statut de licence, de leurs frais et des actifs disponibles. Notre page de comparaison des courtiers et des bourses présente ces éléments côte à côte afin que vous puissiez choisir une plateforme qui correspond à la façon dont vous négociez réellement.
Une option réglementée est XTBun courtier établi et coté en bourse qui a obtenu l'autorisation de proposer du trading de crypto au comptant aux clients de l'EEE (via son autorisation chypriote), parallèlement à ses produits de courtage réglementés. Vous pouvez ouvrir un compte avec XTB ici.
Voir l’article original en anglais
