Ai总结： 2026年7月，两大主流跨链桥AFX Trade与VerusCoin接连遭遇黑客攻击，累计损失逾3100万美元。安全机构披露攻击手法涉及热节点签名劫持与验证逻辑缺陷，引发行业对去中心化金融基础设施安全性的深度反思。

双桥同日遭袭：跨链协议安全防线持续承压

2026年7月，全球去中心化金融生态迎来重大安全冲击，两起独立但时间紧密相连的跨链桥攻击事件相继爆发。攻击者分别针对AFX Trade与VerusCoin的跨链桥梁发起针对性入侵，在极短时间内盗取超过3100万美元价值资产。区块链监控平台Blockaid在攻击过程中实时预警，迅速将事件公之于众，进一步加剧了市场对底层桥接技术稳定性的忧虑。

Arbitrum生态中AFX桥遭定向渗透，巨额USDC被转移

7月22日UTC时间21:30，Blockaid监测到针对Arbitrum网络上AFX Trade协议桥的异常行为。黑客通过非法获取五个热验证节点的签名权限，绕过法定人数共识机制，执行了一笔未经授权的资金调拨，成功提取价值2415万美元的USDC代币。

被盗资金随即转入以太坊钱包，并兑换为12,467.5枚ETH。PeckShieldAlert追踪发现，这些资产目前仍滞留于地址0x6276…ebAC。安全团队确认，此次攻击系针对AFX在Arbitrum部署的桥服务所实施的精准打击，导致单次损失达2415万美元。

AFX在事件暴露后立即暂停桥接功能，并声明其核心交易系统及整个Arbitrum生态未受波及。代表Arbitrum基金会的Steven Goldfeder亦澄清，原生桥未被攻破，本次提款问题源于第三方协议集成层面的缺陷。

目前所有被盗资产仍处于攻击者控制之下。慢鱼（SlowMist）已将相关钱包地址提交至加密防御联盟（CDA），该行业协作网络正致力于追踪资金流向。此前曾对桥代码完成审计的Zellic公司也已加入联合调查行动。

AFX承诺将持续更新调查进展，待事实厘清后公布追回方案与后续措施。

VerusCoin桥再陷危机，多资产遭批量盗取

次日，即7月23日，Blockaid标记出另一宗针对VerusCoin以太坊桥的安全漏洞。攻击者利用其导入机制中的逻辑盲点，触发无足额储备支撑的支付流程，致使包括ETH、tBTC、USDC、USDT、EURC、MKR和scrvUSD在内的多种资产被非法转移。资金最终流入一个以C142D54结尾的钱包地址。

分析显示，此次攻击与2026年5月发生的同类事件高度相似。两次攻击均基于相同的合约路径与入口漏洞，表明该桥的验证逻辑存在长期未修复的结构性缺陷。尽管攻击者使用了新钱包，但攻击模式一致，暗示可能存在共用技术框架或代码复用。

Blockaid指出，此轮攻击延续了前次漏洞类别，凸显跨链桥在资产校验环节的系统性风险。同时，攻击者迅速启用Tornado Cash进行洗钱操作，使资金追踪难度大幅上升。

值得注意的是，5月的同一事件中，攻击者仅以低交易成本便盗走1158万美元，反映出该桥安全机制的脆弱性已非首次暴露。而截至本报告发布，VerusCoin尚未对外作出正式回应。

事件全景梳理：三起攻击并列，风险呈周期性复发

· 桥：AFX Trade (Arbitrum) —— 漏洞日期：2026年7月22日 —— 被盗金额：2415万美元 —— 受影响资产：USDC

· 桥：VerusCoin以太坊桥 —— 漏洞日期：2026年7月23日 —— 被盗金额：754万美元 —— 受影响资产：ETH、tBTC、USDC、USDT、EURC、MKR、scrvUSD

· 桥：VerusCoin以太坊桥 —— 漏洞日期：2026年5月 —— 被盗金额：1158万美元 —— 受影响资产：多种货币

行业联动应对：安全联盟协同追踪，修复进程未定

此类事件再度唤起对跨链桥频繁出现安全漏洞的警觉。历史案例如Wormhole与Nomad在2022年的重大失守，如今重演于2026年，暴露出行业在协议设计与审计机制上的深层短板。

Blockaid强调，VerusCoin此次事故的核心在于对传入转账价值缺乏有效校验，这一类漏洞已在多个项目中反复出现。包括SlowMist与PeckShieldAlert在内的多家安全机构正密切监控被盗资产动向，并与交易所及其他生态成员展开合作，追踪可疑钱包活动。

目前，AFX与VerusCoin均未公布恢复桥接服务的具体时间表。两项调查仍在推进，监管机构与安全团队正全力推动资产追回工作，但尚未释放任何关于补救计划或赔偿机制的明确信息。