Hack AFX Trade : 24,15 M$ d'USDC siphonnés via le bridge Arbitrum

Le protocole de trading décentralisé AFX Trade a subi l’exploitation de son bridge sur Arbitrum le 22 juillet 2026, entraînant le vol de 24,15 millions d’USDC. L’attaque, signalée par la firme de sécurité Blockaid à 23h30 (heure de Paris), a drainé la quasi-totalité des fonds bloqués dans le contrat. L’attaquant a converti le butin en 12 467 ETH, selon les données on-chain transmises par PeckShield.

Au programme

• 24,15 M$ d’USDC drainés du bridge AFX sur Arbitrum (Blockaid, 22 juillet)
• L’attaquant a converti la totalité en 12 467 ETH puis déplacé les fonds vers Ethereum
• Il s’agit du 14e incident de sécurité en juillet, un mois qui dépasse déjà juin en pertes cumulées

Comment l’attaquant a-t-il vidé le bridge d’AFX Trade ?

Le modus operandi suit un schéma désormais bien documenté dans l’écosystème des bridges : l’attaquant a exploité une faille dans le contrat du bridge opéré par AFX Trade, vidant presque intégralement les liquidités en USDC. Blockaid a alerté sur l’événement en soulignant la quasi-instantanéité de l’exécution.

Cette attaque s’inscrit dans la longue série de hacks de bridges cross-chain qui ont marqué la DeFi ces deux dernières années. Le précédent du bridge Nomad, vidé par une horde de copieurs avec un simple copier-coller de transaction, rappelle à quel point une faille même mineure peut être exploitée à grande échelle. Le cas récent de Verus Bridge, dont 11,6 M$ de crypto ont été dérobés, confirme que ces infrastructures restent des cibles privilégiées.

Les données on-chain révèlent que l’attaquant a immédiatement déplacé les fonds volés d’Arbitrum vers le réseau principal Ethereum, puis les a échangés contre 12 467 ETH, soit près de 25 % de plus en valeur ether que le montant initial en stablecoin si l’on intègre le glissement de marché.

Pourquoi ce hack s’inscrit-il dans un mois record ?

Juillet 2026 est en passe de battre un triste record : avec ce 14e incident, le mois a déjà dépassé le volume de pertes enregistré en juin. La multiplication des brèches sur des protocoles de taille moyenne comme AFX Trade, après l’exploit d’Echo Protocol à 76 M$ sur Monad, illustre un écosystème où chaque nouveau bridge devient une surface d’attaque pour des acteurs malveillants.

Le cofondateur d’Arbitrum, Steven Goldfeder, a immédiatement précisé que le bridge natif du réseau n’était pas affecté. Il s’agit d’un pont tiers opéré par AFX Trade, un scénario distinct de celui du bridge Syscoin où une faille avait permis la création de 5 milliards de tokens ex nihilo. On observe un report des attaquants vers des cibles moins surveillées, une tactique déjà employée contre Secret Network où un bug de mint infini avait drainé 4,67 M$ via le bridge Axelar.

L’attaquant a probablement ciblé AFX Trade pour sa relative petite taille : rendant la surveillance moins prioritaire que sur des protocoles majeurs comme Wormhole, qui avait perdu 320 M$ en 2022 avant d’être recapitalisé.

Quelle est la réaction immédiate de l’écosystème ?

La communauté Arbitrum a réagi en rappelant la distinction cruciale entre le bridge natif du réseau et les ponts tiers. Blockaid et PeckShield ont publié les adresses du wallet de l’attaquant pour permettre aux exchanges centralisés de geler les fonds en cas de tentative de dépôt.

Les équipes d’Offchain Labs ont confirmé que l’infrastructure centrale d’Arbitrum restait intacte. Cette clarification était nécessaire pour éviter un vent de panique similaire à celui observé lors du hack Kelp DAO où l’incertitude avait paralysé Aave pendant plusieurs heures. L’épisode rappelle également le hack de Wanchain et ses 515 millions de NIGHT aspirés via le bridge Cardano, une autre illustration des conséquences en cascade d’un pont compromis.

L’incident pose une nouvelle fois la question de la sécurité des ponts inter-chaînes, un vecteur d’attaque qui a déjà coûté plus de 2 milliards de dollars cumulés à l’écosystème depuis 2022. La leçon de LayerZero, qui avait dû reconnaître une faille après un hack de 292 M$, est que la transparence post-mortem est aussi cruciale que l’audit préalable.

Lecture CryptoActu L’exploit de 24,15 M$ sur AFX Trade illustre une tendance préoccupante : les attaquants se reportent sur des protocoles de niche après les grands hacks de 2025-2026. La barre des 2 M$ par incident devient un seuil critique qui uniformise le risque, quel que soit le projet.

À retenir

L’attaque contre le bridge AFX Trade coûte 24,15 M$ en USDC à ses utilisateurs. L’attaquant a converti les fonds en 12 467 ETH et les a déplacés sur Ethereum. Juillet 2026 dépasse désormais juin en nombre d’incidents, confirmant que les bridges tiers restent le maillon faible de l’écosystème, même sur des réseaux techniquement solides comme Arbitrum. La recapitalisation post-hack, à l’image de ce qu’a accompli Ronin après sa migration vers Ethereum L2 quatre ans après son piratage, pourrait servir de modèle pour restaurer la confiance.

Questions fréquentes

Comment les 24,15 M$ d’USDC ont-ils été convertis en ETH ?

L’attaquant a utilisé un exchange décentralisé pour convertir la totalité du butin en 12 467 ETH immédiatement après le drain, avant de transférer ces fonds d’Arbitrum vers le réseau principal Ethereum pour brouiller les pistes.

Le bridge natif d’Arbitrum est-il concerné par le hack ?

Non, Steven Goldfeder a confirmé que seul le bridge tiers d’AFX Trade a été compromis. L’infrastructure centrale d’Arbitrum, opérée par Offchain Labs, n’a subi aucune intrusion lors de cet incident du 22 juillet 2026.

AFX Trade va-t-il rembourser les utilisateurs affectés ?

Aucun plan de compensation n’a encore été annoncé par l’équipe d’AFX Trade. La publication des adresses du wallet de l’attaquant vise pour l’instant à permettre aux plateformes centralisées de geler les fonds en cas de tentative de dépôt.