Penulis: Gu Yu, ChainCatcher
Hari ini, jembatan lintas rantai (cross-chain bridge) dari bursa kontrak berjangka terdesentralisasi AFX diserang oleh peretas, dengan aset senilai lebih dari 24 juta dolar AS dicuri. Dari TVL yang ditampilkan Defillama, jumlah ini setara dengan seluruh protokol yang dikosongkan.
Setelah kejadian, AFX mengunggah post di X menyatakan bahwa mereka sedang bekerja sama erat dengan perusahaan keamanan terkemuka, mitra ekosistem, bursa, dan pihak berwenang terkait untuk memantau pergerakan dana dan mendukung penyelidikan yang sedang berlangsung.
I. Laporan Audit Berlubang Tembus
Namun, pelajaran pahit AFX tampaknya sudah ada tanda-tandanya. Proyek ini diluncurkan di mainnet pada Mei, dan menerbitkan laporan audit pada 3 Juni. Setelah peristiwa pencurian hari ini, beberapa pakar keamanan menemukan masalah besar dalam laporan ini.
Dalam laporan tersebut, perusahaan audit keamanan Zellic menyatakan menemukan 11 masalah, dua di antaranya kritis, satu memiliki dampak tinggi, dan enam berdampak sedang.
"Mengingat audit ini hanya mencakup sebagian komponen yang membentuk protokol jembatan, dan kekurangan cakupan pengujian untuk semua jalur kritis keamanan, ini tampak sangat penting. Hal ini tidak hanya membatasi kemampuan kami untuk memverifikasi kebenaran, tetapi juga kemampuan AFX untuk memelihara sistem secara aman di masa depan. Selain itu, faktor kritis yang mendesak untuk diaudit ulang adalah, kami saat itu tidak memiliki kemampuan untuk menjalankan atau berinteraksi dengan lingkungan live atau lokal. Ini sangat membatasi kemampuan kami untuk memverifikasi fungsi, mengeksplorasi kasus tepi (edge cases), dan mengevaluasi perilaku sistem di luar tinjauan statis," tulis Zellic dalam bagian kesimpulan.
Menurut pengungkapan Zellic, kode yang dapat mereka akses dan verifikasi hanya mencakup sebagian komponen protokol jembatan, tidak dapat mencakup proses lintas rantai aset secara lengkap, dan juga tidak dapat diuji dalam lingkungan operasi nyata. Ini berarti, untuk jalur kritis inti jembatan lintas rantai seperti penitipan aset, verifikasi tanda tangan, kontrol otoritas, lembaga audit sebenarnya tidak dapat memberikan kesimpulan lengkap.
Zellic juga khusus mengingatkan, meskipun tim proyek menyelesaikan perbaikan kerentanan sesuai laporan, lembaga audit tidak dapat mengkonfirmasi apakah perbaikan ini diterapkan dengan benar, apalagi menjamin bahwa proses perbaikan tidak akan memperkenalkan kerentanan baru. Ini berarti, laporan tersebut sebenarnya tidak dapat digunakan sebagai bukti bahwa protokol jembatan sudah "aman", tetapi lebih mirip hasil pemeriksaan bertahap untuk sebagian kode.
Untuk jembatan lintas rantai yang mengelola aset senilai puluhan juta dolar, "ruang lingkup audit yang tidak lengkap" itu sendiri adalah sebuah risiko. Ketika lembaga audit pun tidak dapat memastikan batas keamanan seluruh sistem, pengguna sebenarnya juga sulit menilai keamanan nyata protokol.
Mengenai hal ini, Manajer Produk Utama MetaMask, pendiri MyEtherWallet dan MyCrypto, Taylor Monahan, mengunggah cuitan di X menyatakan bahwa laporan audit jembatan lintas rantai AFX ini "sangat menakutkan", banyak masalah yang "dikonfirmasi" tetapi tidak diperbaiki, dan menyatakan tidak mengerti bagaimana pengguna bisa mentransfer lebih dari 24 juta dolar AS ke protokol tersebut.
"Laporan audit ini dengan kuat mengarah pada tim yang pada dasarnya tidak peduli untuk bertanggung jawab atas 'sistem M of N yang tidak sepenuhnya nyata'. Kasus tepi yang tidak ditangani? Tidak masalah. Mengelola dana pengguna secara manual? Tidak masalah. Sepenuhnya bergantung pada intervensi tim untuk mencegah perampokan? Tidak masalah."
Taylor Monahan menduga, sangat mungkin semua validator dan kunci AFX berada pada sistem yang sama, atau dikendalikan oleh satu individu.
II. Perusahaan Induk Diduga Adalah Phemex
Peneliti ChainCatcher yang mempelajari tim AFX lebih lanjut menemukan bahwa proyek ini tampaknya memiliki hubungan erat dengan bursa kripto Phemex, bahkan Phemex kemungkinan besar adalah perusahaan induknya.
Hubungan yang rumit antar anggota tim adalah salah satu bukti pendukungnya. Bio akun X Kepala Pertumbuhan AFX Ken sebelumnya adalah "Head of Listing @phemex_official", yaitu Kepala Pencatatan Saham di Phemex, posisi yang merupakan salah satu fungsi inti dari bursa mana pun.
Anggota tim AFX lainnya yang diikuti oleh akun X resmi AFX, Damon, meskipun tidak memiliki lebih banyak informasi publik, akun X-nya setelah dibuat dan mengikuti akun AFX 4 bulan lalu, juga mengikuti setidaknya tiga akun X anggota tim bursa Phemex.
Selain itu, blog resmi bursa Phemex juga menerbitkan beberapa artikel untuk mempromosikan dan memperkenalkan AFX, seperti "Unlock Your Strength: Discover Why AFX Protocol Transforms Lives", "The Philosophy of Anti-Fragility: Why AFX Protocol Matters", "Dive into the Multi-Asset Perps Revolution!", "Top 5 Perpetual DEXs to Watch in 2026". Dalam artikel terakhir, bursa AFX bahkan berada di urutan terdepan di antara Perp DEX lainnya seperti Hyperliquid.
Saat ini, artikel-artikel tersebut telah dihapus dari situs web resmi Phemex, tetapi saat menelusuri judulnya di Google, tautan beberapa artikel ini masih muncul dalam hasil pencarian.
Bukti keterkaitan lainnya adalah, gaya tema Logo kedua proyek juga sangat mirip, keduanya menggunakan gradien warna dari hijau neon ke hijau kebiruan, dipadukan dengan latar belakang hitam pekat, suasana visual dan orientasi nada warna hampir identik, yang juga dapat mencerminkan bahwa keduanya memiliki tim desain yang sama.
Secara keseluruhan, melihat riwayat tim, promosi resmi historis, desain merek, serta jejak operasi publik, hubungan antara AFX dan Phemex jauh melampaui hubungan mitra ekosistem biasa.
Masalah yang paling "menimbulkan pikiran mendalam" adalah, bursa Phemex juga pernah dicuri lebih dari 70 juta dolar AS pada Januari 2025, saat itu analisis luar menyebutkan kemungkinan besar dilakukan oleh peretas Korea Utara. Saat itu, tim Phemex menyatakan aset pengguna tidak akan terpengaruh, platform akan menanggung kerugian akibat kejadian ini, dan segera memulihkan proses penarikan normal.
Selama meluncurkan produk AFX, Phemex jelas telah mempersiapkan isolasi risiko sebelumnya, keduanya tidak memiliki keterkaitan publik di tingkat merek, saham, dan lain-lain, tetapi tetap tidak dapat menutupi hubungan erat yang rumit antara keduanya.
Kini, tragedi kehilangan puluhan juta dolar AS terjadi lagi. Apakah ini peretas Korea Utara mengulangi trik lama, atau orang dalam yang mengatur skema panen, ini masih bergantung pada lebih banyak bukti dan analisis.
