À peine une semaine après l'exploit Oracle sur Ostium, le prochain DEX perpétuel est frappé sur Arbitrum. Le 22 juillet 2026, AFX Trade a perdu environ 24,15 millions USDC après qu'un attaquant a pris le contrôle des clés de signature du validateur d'un pont qui exploite le protocole lui-même. Le butin est allé à Ethereum et y a été échangé contre environ 12 467 ETH – la valeur totale verrouillée de la plateforme a été pratiquement effacée.
Ici aussi, la vulnérabilité ne résidait pas dans le code du contrat intelligent, mais dans l'infrastructure qui l'entourait : dans un pont qu'AFX exploitait de manière indépendante – pas dans le pont natif d'Arbitrum.
Que s'est-il passé chez AFX Trade ?
La société de sécurité Blockaid a signalé l'exploit le 22 juillet à 21h30 UTC. L'attaquant a pris le contrôle des clés de signature du validateur du pont de conservation USDC d'AFX – le composant même qui autorise les paiements inter-chaînes. Parce qu'il a obtenu suffisamment de signatures pour atteindre le quorum du pont, le paiement frauduleux est apparu tout à fait légitime au système.
C'est exactement le but : Selon Blockaid, la logique en chaîne a fonctionné exactement comme prévu. Cinq signatures de validateurs à chaud ont atteint le seuil requis pour le déblocage : le contrat a débloqué les fonds sans déclencher de bug. Le problème était simplement que les clés derrière ces signatures étaient entre de mauvaises mains.
Après le pillage, l’attaquant a transféré l’USDC d’Arbitrum à Ethereum et l’a échangé contre environ 12 467 ETH à un taux moyen d’environ 1 937 $. Selon PeckShield, l’ETH échangé a fini par être regroupé dans un seul portefeuille.
Le réseau Arbitrum lui-même a-t-il été piraté ?
Non – et cette distinction est cruciale. L'exploit a touché un pont externe qu'AFX place au-dessus d'Arbitrum, et non le pont natif ou la couche 2 elle-même. Steven Goldfeder, co-fondateur d'Offchain Labs (l'équipe derrière Arbitrum), a précisé que le pont natif n'avait en aucun cas été piraté ou exploité.
Une attaque contre le propre pont d'Arbitrum aurait ébranlé l'ensemble de l'écosystème de la couche 2. En revanche, une application compromise au sommet est un échec isolé – mauvais pour AFX et ses utilisateurs, mais pas une menace systémique pour les autres protocoles Arbitrum.
Pourquoi les ponts sont-ils une destination si populaire ?
Les ponts sont l'une des cibles d'attaque les plus lucratives de la DeFi depuis des années – et pour des raisons structurelles. Ils détiennent de grandes quantités d’actifs verrouillés et s’appuient sur des ensembles de validateurs ou des constructions multisig pour débloquer les transferts. Cela signifie que la confiance se concentre sur quelques clés. S'ils sont compromis, le code en chaîne transmet les paiements sans aucun problème tant qu'ils semblent correctement signés.
Le boîtier AFX correspond exactement à ce modèle. Le moteur de trading et l'infrastructure de base d'Arbitrum sont restés intacts ; le seul maillon faible était la couche de signature d'un pont que l'équipe gérait elle-même. Cela reflète l’histoire plus large de 2026 : la plupart des pertes DeFi majeures proviennent de composants hors chaîne compromis, et non d’un code Solidity défectueux.
Quelles bourses détiennent une licence MiCA ? Découvrez maintenant sur notre page de comparaison
Quelle somme a été volée – et où est l’argent maintenant ?
Environ 24,15 millions d’USDC ont été retirés, soit la quasi-totalité de la TVL du protocole. Contrairement à de nombreux exploits dans lesquels les fonds disparaissent dans un mélangeur, la piste est toujours visible ici : l'attaquant a échangé l'USDC contre environ 12 467 ETH et l'a laissé dans un portefeuille Ethereum connu, sans aucun retrait ultérieur majeur signalé. Les sociétés de sécurité Blockaid et PeckShield suivent activement l'adresse.
Le fait que les fonds n’aient pas encore été blanchis laisse une étroite fenêtre d’opportunité pour les récupérer – et c’est exactement ce que l’AFX essaie d’utiliser.
Que fait AFX pour récupérer les fonds ?
Quelques heures après l'attaque, AFX a fermé le pont concerné et a fait une offre publique à l'attaquant : restituer 70 % du butin et conserver les 30 % restants – environ 7,2 millions de dollars – en guise de « récompense chapeau blanc ». L’équipe a donné une adresse Ethereum spécifique à cet effet.
Il s’agit désormais d’une procédure courante pour les exploits cryptographiques. Le calcul est sobre : récupérer 70 % est mieux que rien, et les analyses médico-légales modernes en chaîne rendent de plus en plus difficile le blanchiment de grosses sommes d’argent sans être identifié tôt ou tard. Des critiques subsistent : certains chercheurs en sécurité préviennent que de tels paiements rendent « d'abord le vol, puis la négociation » socialement acceptable. Que cela fonctionne ici dépend uniquement de la question de savoir si l'attaquant préfère une sortie propre au risque d'essayer de déplacer l'ETH.
La manière exacte dont les clés ont été compromises fait actuellement l’objet d’une enquête. Les fonds sont toujours dans le portefeuille de l'attaquant.
Que signifie le hack AFX pour les traders DeFi ?
Quiconque utilise des DEX perpétuels sur les réseaux de couche 2 devrait regarder derrière la surface de trading. Un protocole peut avoir un moteur Perp à toute épreuve tout en étant vidé si le pont sous-jacent repose sur des clés de validation centralisées. Le fait qu’AFX et Ostium aient été touchés en une semaine – tous deux sur Arbitrum, tous deux via des vulnérabilités hors chaîne – rend ce point difficile à ignorer.
Leçons pratiques pour les traders : vérifiez si une plateforme repose sur un pont auto-géré, faites attention au montant de capital que vous laissez sur une seule plate-forme de négociation et, si un incident persistant se produit, suivez les canaux officiels plutôt que les rumeurs.
Où pouvez-vous plutôt négocier sur des plateformes réglementées ?
Des incidents comme le piratage d’AFX montrent le prix payé sur des plateformes de négociation non testées ou faiblement réglementées. Dans l'UE, le règlement MiCA établit désormais une norme uniforme : depuis le 1er juillet 2026, chaque plateforme qui dessert les clients de l'UE doit obtenir une approbation CASP (Crypto-Asset Service Provider). Il couvre la gouvernance, la protection des fonds des clients, la sécurité informatique et la prévention du blanchiment d'argent. Fin juillet 2026, le registre de l'ESMA comptait près de 300 CASP approuvés dans l'EEE – l'approbation est valable par passeport sur l'ensemble du marché intérieur.
Si vous préférez négocier sur des plateformes réglementées au lieu d'exposer votre argent à un pont ou à un Perp-DEX dépendant d'Oracle, cela vaut la peine de comparer en fonction du statut de la licence, des frais et des actifs disponibles. Notre page de comparaison des courtiers et des bourses compare exactement cela afin que vous puissiez trouver une plateforme adaptée à votre style de trading.
Une option réglementée est XTBun courtier coté et établi qui, en plus de son offre de courtage réglementée, propose également du trading de crypto au comptant à ses clients dans l'EEE (via son autorisation à Chypre). Vous ouvrez un compte ici.
Voir l’article original en allemand
