AFX y el puente Verus-Ethereum sufrieron alrededor de $31,69 millones en pérdidas combinadas con pocas horas de diferencia, mientras que B² Network suspendió por separado la apuesta de tokens después de un acceso no autorizado a una autoridad de actualización de contrato.
Blockaid dijo que detectó el exploit AFX alrededor de las 21:30 UTC del 22 de julio. Una transacción de Arbitrum registró 24,15 millones de USDC saliendo del puente operado por AFX, un protocolo comercial descentralizado en Arbitrum.
AFX suspendió su puente de custodia del USDC y dijo que el incidente se aisló de su infraestructura comercial, red principal y red Arbitrum. El componente afectado era un puente de terceros, no el puente nativo de Arbitrum.
En hallazgos preliminares publicados el 24 de julio, AFX atribuyó el incidente a ingeniería social coordinada y compromiso de infraestructura. El protocolo decía que el acceso parecía comenzar en un entorno de desarrollo antes de escalar a una infraestructura de construcción interna y sistemas de validación.
AFX dijo que estaba verificando saldos, buscando la recuperación de fondos y preparando medidas correctivas. Hasta el 24 de julio, no había anunciado una devolución completa de fondos ni un plan de compensación finalizado.
Horas después del incidente de AFX, una transacción de Ethereum mostró que el puente Verus liberó 1.137,4528 ETH y siete transferencias de tokens. Blockaid valoró los pagos no respaldados en alrededor de 7,54 millones de dólares.
El análisis de SlowMist dijo que el puente aprobó ocho retiros sin demostrar que los activos correspondientes los respaldaran. La empresa vinculó la falla con la misma clase amplia de validación de importación entre cadenas como un exploit de mayo, pero dijo que los dos ataques utilizaron mecánicas diferentes.
El incidente de B² no fue revelado como un exploit de puente. La red dijo que hubo acceso no autorizado a la autoridad de actualización de su contrato de participación. B² suspendió las apuestas normales durante las revisiones de seguridad, dijo que el problema estaba contenido y prometió una compensación total a los usuarios afectados. No había documentado la restitución completa al 24 de julio.
B² también ofreció una salida manual: los usuarios podían solicitar la eliminación de la participación a través de su Discord oficial, y las solicitudes de propiedad verificada se procesarían dentro de un día hábil. La red no indicó el monto de las pérdidas, por lo que su incidente está excluido del total de pérdidas del puente de $ 31,69 millones. Hasta que se reanude el juego normal, esa revisión manual es la ruta que B² ofreció a los usuarios que buscaban retirar tokens apostados.
Los tres episodios expusieron diferentes controles fuera del consenso de la cadena base. La infraestructura de custodia y validación de AFX, las verificaciones de contabilidad puente de Verus y la autoridad de actualización del contrato de participación de B² se convirtieron en el punto donde falló el acceso normal.
Para los usuarios, la siguiente prueba es si los planes de recuperación devuelven fondos, si la validación entre cadenas verifica el respaldo económico y si la autoridad de actualización está protegida sin que las salidas de emergencia dependan de la intervención manual.
