La piattaforma AFX Trade, basata su Arbitrum, ha subito una perdita di 24 milioni di dollari a causa della compromissione delle chiavi del proprio bridge cross-chain. L’incidente, riportato inizialmente da CoinDesk e segnalato anche dalla società di sicurezza Blockaid, è un attacco a livello infrastrutturale che ha esposto direttamente i fondi degli utenti.
Cosa sono le chiavi del bridge e perché sono così importanti
Le chiavi del bridge sono le credenziali crittografiche che autorizzano il trasferimento o la validazione di asset all’interno di un ponte cross-chain. Chi le controlla può dunque di fatto approvare qualsiasi trasferimento: per questo motivo sono il punto centrale del modello di sicurezza di un bridge.
Quando queste chiavi vengono compromesse, un hacker ottiene lo stesso livello di controllo privilegiato dell’operatore legittimo, potendo così spostare fondi senza dover violare la logica degli smart contract. È proprio questa caratteristica a rendere gli incidenti legati alle chiavi dei bridge eventi ad alta gravità, ben diversi da un semplice bug contenuto.
Ebbene, la dimensione della perdita subita da AFX Trade conferma quanto il bridge fosse centrale nella sicurezza degli asset della piattaforma. Dinamiche simili si sono verificate in passato con l’attacco al bridge di Wanchain, episodio che ha spinto l’intero settore a ripensare l’architettura di sicurezza delle infrastrutture cross-chain.
Cosa succede a utenti e piattaforma
Una perdita di queste dimensioni solleva inevitabilmente interrogativi immediati sull’esposizione degli utenti, sulla sicurezza dei prelievi e sull’integrità dei fondi ancora depositati o instradati attraverso la piattaforma. L’attenzione si sposta ora su custodia, controllo degli accessi e capacità di risposta all’incidente. I bridge restano infatti uno degli strati infrastrutturali più colpiti nel settore crypto, un rischio sistemico che riguarda diversi protocolli DeFi che dipendono dai trasferimenti cross-chain per funzionare.
Restano ancora senza risposta alcune domande chiave. Per esempio, ci domandiamo come siano state ottenute le chiavi, se sia possibile tracciare o recuperare i fondi sottratti, e quali controlli, se presenti, abbiano fallito. Al momento della pubblicazione, questi dettagli non sono stati confermati dalla piattaforma…
