Puntos clave de la noticia:
- Un exploit contra AFX Trade, exchange de perpetuos en Arbitrum, drenó $24,15 millones de su bridge de custodia de USDC.
- El protocolo ofreció al atacante retener el 30% como «white hat bounty» si devuelve el 70% restante de los fondos robados.
- El puente Verus-Ethereum sufrió un segundo exploit en dos meses, las pérdidas fueron de $7,54 millones y se ejecutó a través de la misma vulnerabilidad de mayo.
Un exploit de múltiples frentes sacudió al ecosistema DeFi, hubo dos ataques que causaron pérdidas superiores a los $31 millones en cuestión de horas. AFX Trade, un exchange descentralizado de contratos perpetuos sobre Arbitrum que liquida en USDC, fue vaciado y perdió $24,15 millones luego de que un atacante comprometiera el bridge de custodia que el propio protocolo opera. La firma de seguridad blockchain Blockaid confirmó el incidente. AFX señaló que el vector exacto del ataque sigue bajo investigación.
El rastro on-chain documentado por PeckShield revela que el atacante convirtió el USDC robado en 12.468 ETH, activos que quedaron concentrados en una única wallet. AFX suspendió las operaciones del bridge de inmediato y precisó que la vulnerabilidad estuvo «aislada al bridge de custodia operado por AFX», y no pudo afectar la infraestructura de trading del protocolo ni la red Arbitrum. Steven Goldfeder, cofundador de Arbitrum, se apresuró a aclarar públicamente que el bridge nativo de la red «no fue hackeado ni explotado de ninguna manera».
#PeckShieldAlert @AFX_XYZ on #Arbitrum has been exploited for ~$24M USDC. The exploiter has bridged the stolen funds from #Abitrum to #Ethereum and swapped them for 12,467.5 $ETH, currently sitting in 0x6276…ebAC.https://t.co/INZ7ZxtRhE pic.twitter.com/fUHFfEn1F5
— PeckShieldAlert (@PeckShieldAlert) July 23, 2026
Exploits Como Moneda de Negociación
Horas después del incidente, Ken C, responsable de crecimiento de AFX, publicó una oferta directa al atacante: devolver el 70% de los fondos y conservar el 30% restante como recompensa de «white hat». La táctica no es nueva en la industria cripto; Drift Protocol de Solana intentó una negociación similar tras perder $285 millones en un exploit en abril.
El segundo ataque del día fue dirigido al puente Verus-Ethereum, que perdió aproximadamente $7,54 millones a través de la misma clase de vulnerabilidad explotada en mayo. Según Blockaid, el atacante abusó del import path del bridge para generar pagos no respaldados del lado de Ethereum, sustrayendo ETH, tBTC, USDC, USDT, EURC, MKR y scrvUSD antes de convertir todo en ETH. CertiK estimó las pérdidas en $7,53 millones y confirmó que los fondos fueron depositados en Tornado Cash.
#PeckShieldAlert @BSquaredNetwork on #BNBChain has been drained of 8.591M $B2 (worth ~$3.86M).
The exploiter swapped the stolen funds for over 5K $WBNB, then swapped them to 1,128 $ETH and bridged out via NEAR Intents. $B2 has dropped -15%. pic.twitter.com/S7qWobFLJ9
— PeckShieldAlert (@PeckShieldAlert) July 23, 2026
El dato que profundiza la gravedad del caso es que este segundo ataque utilizó el mismo contrato, la misma ruta de entrada y la misma clase de vulnerabilidad que el exploit de mayo, aunque con un atacante distinto operando desde una wallet nueva. El incidente anterior había causado pérdidas por $11,6 millones, aunque el atacante devolvió 4.052 ETH tras retener un 25% como bounty.
Is today Hackers' Day?
Three exploits have already happened today, with total losses of $35.55M.
AFX Trade(@AFX_XYZ) was exploited for $24.15M.
Verus(@VerusCoin) Ethereum bridge was exploited for $7.55M.
B² Network(@BSquaredNetwork) was exploited for $3.86M. pic.twitter.com/9v1KxWtaHV
— Lookonchain (@lookonchain) July 23, 2026
Por último, menos de una hora después, PeckShield informó que unos atacantes drenaron 8,59 millones de tokens B2 de BSquaredNetwork en BNB Chain, provocando pérdidas cercanas a los $3,86 millones. Los hackers intercambiaron rápidamente los tokens por más de 5.000 WBNB, luego los convirtieron en 1.128 ETH y finalmente transfirieron los fondos fuera de la red mediante NEAR Intents
Ambos ataques se suman a la lista de un año devastador para las finanzas descentralizadas, que acumula más de $840 millones en pérdidas por hackeos durante 2026.
