Pada Jumat, 31 Juli, AFX Trade menginformasikan kepada komunitasnya bahwa pada Senin, 3 Agustus, akan mempublikasikan "rencana itikad baik" untuk pengguna.
Ini bisa menjadi langkah menuju kompensasi bagi pengguna yang terkena dampak; namun pembaruan tersebut tidak memberikan informasi tentang apa yang harus diharapkan pengguna. Pesan tersebut menyerukan ketenangan sementara tim menyusun langkah-langkah selanjutnya.
Ini terjadi sembilan hari setelah platform kehilangan lebih dari 24 juta dolar karena eksploitasi mekanisme pertukaran barter di bursa.
Apa yang Diberitahukan AFX Trade dalam Pembaruannya?
Pembaruan tersebut singkat dan tidak mengandung detail spesifik. Pesan diposting dari akun X AFX Trade dan berbunyi: "Rencana aksi untuk kepentingan klien pasca insiden keamanan baru-baru ini sedang disusun dan akan dipresentasikan pada Senin, 3 Agustus."
Tim menambahkan bahwa kebocoran data telah berdampak pada investor, karyawan, dan sponsor awal, serta membagikan tautan ke artikel Medium yang berisi analisis mendalam tentang apa yang terjadi.
Namun, tidak ada angka, aturan kelayakan, atau tenggat waktu pembayaran yang diumumkan, dan tidak diklarifikasi apakah informasi tersebut akan dirilis pada Senin mendatang.
Ke Mana 24 Juta Dolar yang Dicuri Itu Hilang?
Pencurian terjadi pada 22 Juli, dengan perusahaan keamanan Blockaid memperkirakan kerugian mencapai 24,15 juta dolar. Dana ditarik dari akun deposit $USDC yang dikelola AFX di platform Arbitrum.
Analis blockchain dari PeckShieldAlert menyatakan bahwa pelaku memindahkan stablecoin ke Ethereum dan mengonversinya menjadi 12.468 ETH, yang berakhir di satu dompet.
AFX Trade menangguhkan operasi jembatannya setelah eksploitasi terdeteksi dan menyatakan bahwa kerentanan hanya memengaruhi jembatan yang terdampak. Arbitrum juga membuat pernyataan serupa bersama dengan salah satu pendirinya, Steven Goldfeder, menyatakan bahwa jembatan asli jaringan "tidak dieksploitasi atau digunakan dengan cara apa pun" dan bahwa transaksi yang memicu masalah terjadi melalui protokol pihak ketiga yang beroperasi di atas lapisan kedua.
Ken S., Kepala Pengembangan AFX Trade, membuat tawaran kepada pelaku, mengatakan bahwa mereka bersedia membiarkan pelaku menyimpan 30% dana sebagai hadiah untuk aktivitas "white hat" jika 70% dikembalikan.
Bagaimana Pelaku Mengeksploitasi Jembatan AFX Trade $USDC Custody?
Analisis mendalam tentang insiden yang dipublikasikan oleh AFX Trade melacak awal mulanya hingga 9 Juli, ketika seorang pengembang dihubungi melalui Telegram oleh seseorang yang mengaku sebagai perwakilan dari Oddium Lab dan menawarkan pekerjaan paruh waktu.
Pengembang didorong untuk mengkloning repositori yang tampak seperti repositori agregator DEX biasa. Perubahan dilakukan pada file .git/config-nya, memungkinkan hook post-checkout berbahaya dijalankan saat beralih cabang, sehingga menyuntikkan malware tahap pertama ke workstation.
Setelah itu, pelaku mulai beroperasi di dalam jaringan, bukan di blockchain. Pada 16 Juli, dia mengunggah plugin Groovy berbahaya, ops_maintenance.groovy, ke repositori artefak JFrog AFX Trade, memungkinkannya mengeksekusi kode di host itu.
Plugin tersebut juga menyebabkan crash parah karena kehabisan memori, yang disalahartikan sebagai masalah infrastruktur biasa, sehingga para insinyur memanggil dukungan JFrog internal dan me-restart mesin, yang secara diam-diam me-reload malware.
Pada 22 Juli, pelaku telah menyusup ke infrastruktur validator, mengirimkan kode berbahaya ke node target, dan menggunakan validator yang telah disusupi untuk bersama-sama menandatangani panggilan jembatan yang menarik aset keluar. "Mereka tidak menggunakan kerentanan smart contract. Mereka menggunakan kerentanan kepercayaan," tulis AFX.
Kerugian Tunggal Besar di Tahun yang Penuh Banyak Insiden Kecil
Pencurian dari AFX mengikuti pola yang terlihat sepanjang tahun. TRM Labs melaporkan bahwa pada paruh pertama 2026, pelaku melakukan 207 eksploitasi terpisah, angka tertinggi untuk periode enam bulan.
Namun, total kerugian turun menjadi 972 juta dolar, kurang dari setengah dari 2,3 miliar dolar yang dicuri setahun sebelumnya. Pelanggaran infrastruktur dan operasional menyumbang hanya sekitar 15% dari insiden, tetapi mencakup sekitar 76% dari uang yang hilang.
AFX termasuk di antara yang paling terdampak. Perhitungan terpisah menunjukkan kerugian dari AFX sebesar 24,15 juta dolar, bersama dengan eksploitasi kontrol akses yang lebih besar seperti 292 juta dolar dari Kelp DAO dan 280 juta dolar dari Drift Protocol. Basis data eksploit DeFiLlama mengklasifikasikan eksploitasi jembatan AFX sebagai insiden infrastruktur, dengan kompromi kunci privat sebagai penyebabnya — alasan yang sama yang menyebabkan sebagian besar kerugian dolar pada 2026, meskipun jumlah total eksploitasi di area lain meningkat.
