Eine mit Nordkorea verbundene Hackergruppe kassierte 24,15 Millionen USDC von einem dezentralen Derivateprotokoll – und die Methode hatte nichts mit fehlerhaften Smart Contracts zu tun. Der Wiederherstellungsprozess nach dem AFX-Bridge-Exploit tritt nun in eine kritische öffentliche Phase ein, wobei das Protokoll am 3. August einen Goodwill-Plan für betroffene Nutzer vorstellen wird, nach einem der technisch ausgefeiltesten Supply-Chain-Angriffe, die dieses Jahr im DeFi-Bereich zu sehen waren.
Summary
Wichtigste Erkenntnisse
- AFX wird am 3. August 2026 einen Goodwill-Wiederherstellungsplan für von dem Exploit betroffene Nutzer veröffentlichen.
- Rund 24,15 Millionen USDC wurden am 22. Juli aus der Custody-Bridge von AFX gestohlen und später in etwa 12.467 ETH umgewandelt.
- Der Angriff ging aus einer Social-Engineering-Kampagne hervor, die am 9. Juli begann und sich gegen einen AFX-Entwickler richtete, der von einem falschen Recruiter angesprochen wurde, der sich als Oddium Lab ausgab.
- Die native Bridge und das Netzwerk von Arbitrum wurden nicht kompromittiert; der Vorfall war vollständig auf von AFX verwaltete Infrastruktur beschränkt.
- Forensische Beweise verknüpfen den Angriff mit UNC4899, auch bekannt als TraderTraitor, einer von der DVRK unterstützten Bedrohungsgruppe, die von Mandiant, Microsoft Threat Intelligence, dem FBI und der CISA verfolgt wird.
AFX kündigt Goodwill-Plan für Opfer des 24,15-Millionen-Bridge-Exploits an
Die am 31. Juli veröffentlichte Ankündigung bestätigte, dass AFX einen Goodwill-Plan finalisiert und die vollständigen Details am Montag, dem 3. August, bekannt geben wird. Das Team räumte ein, dass Investoren, Mitarbeiter und frühe Unterstützer alle betroffen seien, und bat die Community um Geduld, während der Vorschlag fertiggestellt wird. Die genaue Struktur etwaiger Entschädigungs- oder Wiederherstellungsmechanismen wurde noch nicht offengelegt.
Was diesen Moment bedeutsam macht, ist die breitere Vertrauensabwägung, vor der die Nutzerbasis von AFX nun steht. Ein Goodwill-Plan signalisiert typischerweise, dass eine vollständige Rückerstattung der gestohlenen Gelder nicht garantiert ist – er stellt den Versuch eines Protokolls dar, Verantwortlichkeit zu zeigen, wenn die Wiedererlangung der Mittel vom Angreifer ungewiss bleibt. Es gibt keine öffentlichen Berichte, die bestätigen, dass ein Teil der gestohlenen Vermögenswerte zurückgegeben wurde.
AFX hatte dem Angreifer zuvor eine White-Hat-Bounty-Vereinbarung vorgeschlagen und angeboten, ihm zu erlauben, 30 % der gestohlenen Gelder zu behalten, wenn er die verbleibenden 70 % zurückgibt. Das Ergebnis dieses Angebots wurde nicht öffentlich bestätigt.
Wie ein falscher Recruiter eine 24-Millionen-Dollar-Bridge zu Fall brachte
Der Angriff nutzte keinen Fehler im On-Chain-Code von AFX aus. Stattdessen begann er mit einer Nachricht am 9. Juli – fast zwei Wochen, bevor Gelder bewegt wurden.
Laut dem detaillierten Post-Mortem von AFX gab sich der Angreifer als Recruiter eines Unternehmens namens Oddium Lab aus und wandte sich an einen der Entwickler von AFX. Der Entwickler wurde überzeugt, ein scheinbar legitimes Software-Repository zu klonen. Versteckt darin befand sich eine bösartige Git-Konfiguration, die während eines standardmäßigen Git-Workflows automatisch eine Payload ausführte und dem Angreifer so einen ersten Zugriff auf die Workstation des Entwicklers verschaffte.
Von dort aus eskalierte der Eindringling schrittweise. Der Angreifer weitete den Zugriff auf interne Entwicklungssysteme aus und lud schließlich ein bösartiges Groovy-Plugin in das JFrog-Artefakt-Repository von AFX hoch. Dies verschaffte ihm Remote-Code-Ausführung innerhalb der Software-Lieferumgebung des Protokolls. Kritischerweise wurden wiederholte Out-of-Memory-Ereignisse auf dem JFrog-Server – selbst mit Unterstützung des Anbieters – als routinemäßige Betriebsprobleme eingestuft, sodass das bösartige Plugin mehrere Neustarts überstand, ohne eine Sicherheitsreaktion auszulösen.
Die forensische Analyse ergab, dass System-Binaries durch trojanisierte Versionen ersetzt, bösartige Shared Libraries injiziert und Versuche unternommen worden waren, Sicherheitsprotokolle zu löschen, bevor Teile der Malware abstürzten. SELinux-Protokolle bewahrten letztlich entscheidende Beweise: ausgehenden Command-and-Control-Datenverkehr, Shell-Ausführung und In-Memory-Codeausführungsmuster, die für die Untersuchung zentral wurden.
Kompromittierung von Validatoren ermöglichte den finalen Diebstahl
Sobald der Angreifer in der Entwicklungsumgebung verankert war, schwenkte er über einen internen, auf Ansible basierenden Managementdienst, der bereits über privilegierten Zugriff auf Validator-Knoten verfügte, in die Betriebsinfrastruktur. Es mussten keine neuen Zugangsdaten gestohlen werden. Der Angreifer nutzte einfach bestehende interne Vertrauensbeziehungen aus, um bösartige Payloads auf eine Teilmenge der Validatoren zu verteilen.
Die infizierten Validatoren luden eine Payload der zweiten Stufe von einem entfernten Server herunter und griffen dann in die Verarbeitung von Konsensnachrichten ein. Um 21:27 Uhr UTC am 22. Juli unterzeichneten diese kompromittierten Validatoren gemeinsam eine betrügerische Bridge-Transaktion, mit der rund 24,15 Millionen USDC aus der Custody-Bridge von AFX transferiert wurden. Die gestohlenen USDC wurden anschließend von Arbitrum nach Ethereum verschoben, wo sie in etwa 12.467 ETH umgewandelt wurden.
Die native Bridge von Arbitrum war nie in Gefahr
Früh in der Incident Response wurde ein entscheidender Unterschied deutlich: Der Vorfall war vollständig auf Infrastruktur beschränkt, die von AFX verwaltet und betrieben wird. Die native Bridge von Arbitrum erbt ihre Sicherheit aus der Architektur des Rollups, die letztlich auf den Sicherheitsgarantien von Ethereum beruht – ein grundlegend anderes Vertrauensmodell als bei Drittanbieter-Bridges wie der Custody-Bridge von AFX, die eigene Validator-Sets und Schlüsselverwaltungspraktiken betreiben.
Offchain-Labs-Mitgründer und CEO Steven Goldfeder bestätigte öffentlich, dass die verdächtige Transaktion von einem Drittanbieterprotokoll und nicht von der Kern-Bridge von Arbitrum ausging. Das Blockchain-Sicherheitsunternehmen Blockaid untersuchte den Vorfall ebenfalls und kam zum gleichen Schluss. Das Post-Mortem von AFX bestätigte diese Ergebnisse und stellte fest, dass es keine Hinweise auf eine Kompromittierung des Arbitrum-Netzwerks oder seiner nativen Bridge gab.
Dieser Unterschied ist für Nutzer von enormer Bedeutung. Er zieht eine klare Linie zwischen den Sicherheitsgarantien, die mit der Rollup-Architektur von Arbitrum einhergehen, und denen, die von Drittanbieterprotokollen geboten werden, die unabhängig innerhalb des Ökosystems operieren. Allein im Juli 2026 wurden laut Berichten von Crypto Briefing mindestens 14 Sicherheitsvorfälle im Kryptosektor verzeichnet – ein Volumen, das der Entscheidung für oder gegen bestimmte Bridges zusätzliches Gewicht verleiht.
DVRK-Zuschreibung und die Supply-Chain-Bedrohung für DeFi
AFX erklärte, seine forensischen Erkenntnisse stimmten mit externer Zuschreibung überein, die den Angriff mit UNC4899 in Verbindung bringt, auch bekannt als TraderTraitor – einer DVRK-verbundenen Bedrohungsgruppe, die unabhängig von Mandiant, Microsoft Threat Intelligence, dem FBI und der CISA verfolgt wird. Die beobachteten Techniken entsprechen einem Muster, das nordkoreanische staatlich unterstützte Akteure über mehrere hochkarätige Krypto-Diebstähle hinweg verfeinert haben: Entwickler über gefälschte Jobangebote ins Visier nehmen, tiefgreifende Persistenz in Build-Systemen etablieren und dann interne Vertrauensbeziehungen nutzen, um betrügerische Transaktionen zu autorisieren.
Dieser Vorfall verdeutlicht eine strukturelle Verwundbarkeit, die Blockchain-Sicherheitsaudits selten adressieren. Smart-Contract-Audits prüfen On-Chain-Code. Sie sagen nichts darüber aus, ob ein Entwickler ein bösartiges Repository klonen könnte oder ob eine CI/CD-Pipeline genutzt werden könnte, um Validator-Knoten unbemerkt zu kompromittieren. Die Bemühungen zur Wiederherstellung nach dem AFX-Bridge-Exploit sind in diesem Sinne eine Fallstudie dafür, wie sich die Angriffsfläche von DeFi-Protokollen weit über die Blockchain selbst hinaus erstreckt.
Sicherheitsüberholung nach dem Angriff
AFX hat bei der Sanierung der Infrastruktur schnell gehandelt. Das Protokoll hat betroffene Systeme neu aufgebaut, operative Zugangsdaten rotiert, die Empfindlichkeit der Überwachung erhöht und Produktionsumgebungen in eine stärker isolierte Architektur mit Zero-Trust-Segmentierung migriert. Zusätzliche Maßnahmen, die in den kommenden Monaten geplant sind, umfassen erweiterte Verhaltensüberwachung, verpflichtende Sicherheitsüberprüfungen vor dem Neustart von Produktionsdiensten, umfassendere Threat-Hunting-Übungen und speziell auf Social-Engineering-Taktiken ausgerichtete Mitarbeiterschulungen.
Der Vorfall fügt sich auch in ein breiteres Muster von Off-Chain-Angriffen ein, die DeFi-Protokolle betreffen. Am 30. Juli gab Ostium bekannt, dass ein separater Exploit über 23,75 Millionen USDC auf einen unautorisierten Zugriff auf Off-Chain-Infrastruktur zurückzuführen war, der es ermöglichte, betrügerische BTC-USD-Preisdaten zu verwenden, um seinen Liquiditäts-Vault zu leeren – während seine Smart Contracts intakt blieben. Das in Singapur ansässige Zahlungsunternehmen Triple-A meldete ebenfalls unautorisierten Zugriff auf unternehmenseigene Treasury-Wallets, erklärte jedoch, dass Kundengelder nicht betroffen seien.
Die Ankündigung des Goodwill-Plans am 3. August wird in der DeFi-Community genau beobachtet werden – nicht nur im Hinblick darauf, was AFX den betroffenen Nutzern anbietet, sondern auch im Hinblick darauf, was sie darüber aussagt, wie Protokolle mit Verantwortlichkeit umgehen, wenn staatlich unterstützte Angreifer beteiligt sind und Gelder unaufgefunden bleiben.
FAQ
Was hat den AFX-Bridge-Exploit verursacht?
Der Angriff begann mit einer Social-Engineering-Kampagne am 9. Juli, bei der sich ein Angreifer als Recruiter von Oddium Lab ausgab und einen AFX-Entwickler dazu brachte, ein bösartiges Git-Repository zu klonen. Dies verschaffte dem Angreifer einen ersten Zugriff, der später genutzt wurde, um interne Entwicklungssysteme zu kompromittieren, ein bösartiges Groovy-Plugin in das JFrog-Repository hochzuladen und letztlich über einen internen Ansible-Managementdienst Zugriff auf Validator-Knoten zu erlangen.
Wie viel wurde beim AFX-Bridge-Exploit gestohlen und was geschah mit den Geldern?
Am 22. Juli 2026 wurden etwa 24,15 Millionen USDC aus der Custody-Bridge von AFX gestohlen. Die Gelder wurden von Arbitrum nach Ethereum verschoben und in rund 12.467 ETH umgewandelt. Es gibt keine öffentlichen Berichte, die bestätigen, dass ein Teil der gestohlenen Vermögenswerte wiedererlangt wurde.
Hat der Exploit die native Bridge oder das Netzwerk von Arbitrum betroffen?
Nein. Der Exploit richtete sich ausschließlich gegen die eigene Custody-Bridge von AFX. Die native Bridge und das Netzwerk von Arbitrum wurden nicht kompromittiert, wie durch das Post-Mortem von AFX, Offchain-Labs-CEO Steven Goldfeder und das Blockchain-Sicherheitsunternehmen Blockaid bestätigt wurde.
Wie reagiert AFX auf den Exploit?
AFX wird am 3. August 2026 einen Goodwill-Wiederherstellungsplan für betroffene Nutzer veröffentlichen. Das Protokoll hat bereits zentrale Infrastruktur neu aufgebaut, Zugangsdaten rotiert, Zero-Trust-Segmentierung implementiert und die Überwachung im Rahmen seiner Sicherheitsüberholung nach dem Angriff verbessert. Die genaue Entschädigungsstruktur für betroffene Nutzer war vor der Ankündigung am 3. August noch nicht öffentlich bekannt gegeben worden.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Was hat den AFX-Bridge-Exploit verursacht?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Der Angriff begann mit einer Social-Engineering-Kampagne am 9. Juli, bei der sich ein Angreifer als Recruiter von Oddium Lab ausgab und einen AFX-Entwickler dazu brachte, ein bösartiges Git-Repository zu klonen. Dies verschaffte dem Angreifer einen ersten Zugriff, der später genutzt wurde, um interne Entwicklungssysteme zu kompromittieren, ein bösartiges Groovy-Plugin in das JFrog-Repository hochzuladen und letztlich über einen internen Ansible-Managementdienst Zugriff auf Validator-Knoten zu erlangen.“}},{„@type“:“Question“,“name“:“Wie viel wurde beim AFX-Bridge-Exploit gestohlen und was geschah mit den Geldern?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Am 22. Juli 2026 wurden etwa 24,15 Millionen USDC aus der Custody-Bridge von AFX gestohlen. Die Gelder wurden von Arbitrum nach Ethereum verschoben und in rund 12.467 ETH umgewandelt. Es gibt keine öffentlichen Berichte, die bestätigen, dass ein Teil der gestohlenen Vermögenswerte wiedererlangt wurde.“}},{„@type“:“Question“,“name“:“Hat der Exploit die native Bridge oder das Netzwerk von Arbitrum betroffen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Nein. Der Exploit richtete sich ausschließlich gegen die eigene Custody-Bridge von AFX. Die native Bridge und das Netzwerk von Arbitrum wurden nicht kompromittiert, wie durch das Post-Mortem von AFX, Offchain-Labs-CEO Steven Goldfeder und das Blockchain-Sicherheitsunternehmen Blockaid bestätigt wurde.“}},{„@type“:“Question“,“name“:“Wie reagiert AFX auf den Exploit?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“AFX wird am 3. August 2026 einen Goodwill-Wiederherstellungsplan für betroffene Nutzer veröffentlichen. Das Protokoll hat bereits zentrale Infrastruktur neu aufgebaut, Zugangsdaten rotiert, Zero-Trust-Segmentierung implementiert und die Überwachung im Rahmen seiner Sicherheitsüberholung nach dem Angriff verbessert. Die genaue Entschädigungsstruktur für betroffene Nutzer war vor der Ankündigung am 3. August noch nicht öffentlich bekannt gegeben worden.“}}]}
Artikel wurde mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
