AFX Trade
Perp-DEX auf Arbitrum. Am 22. Juli 2026 über eine kompromittierte Bridge um rund 24,15 Mio. US-Dollar erleichtert. Nach drei Tagen Ruhe begann am 25. Juli die Wäsche: die Beute wird in Tranchen aufgefächert, läuft auf den THORChain-Router zusammen und wird cross-chain in natives Bitcoin getauscht. Über die Hälfte ist bereits abgezogen. Zwei unabhängige Firmen schreiben den Angriff der Lazarus-Untergruppe UNC4899 / TraderTraitor zu.
Was ist passiert?
Angreifer erlangten die Kontrolle über genug Validator-Signaturschlüssel der von AFX betriebenen Bridge, um eine Abhebung über 24,15 Mio. USDC zu autorisieren (laut Blockaid und PeckShield). Arbitrums native Bridge war nicht betroffen. Die gestohlenen USDC wurden über Circle CCTP nach Ethereum gebrückt und dort in rund 12.467 ETH getauscht. Nach drei Tagen ohne Bewegung begann am 25. Juli die Wäsche über THORChain nach Bitcoin. zeroShadow und SEAL schreiben den Angriff öffentlich der nordkoreanischen Gruppe UNC4899 / TraderTraitor zu; AFX selbst bestätigt diese Attribution.
Wohin floss das Geld?
Im Graphen sichtbar: 24,15 Mio. USDC fließen aus der AFX-Bridge zum Angreifer auf Arbitrum, werden gebündelt und über Circle CCTP nach Ethereum gebrückt (die gestrichelte Kante), dort in 12.467 ETH getauscht. Die Beute lag seit dem 22. Juli unbewegt in der Halte-Wallet 0x627654…ebac. Am 25. Juli begann der Abfluss und beschleunigte: die Wallet fächerte die Beute in zwölf fast gleich große Tranchen auf (~100–600 ETH je Wallet), die jedoch wieder auf einen einzigen Punkt zusammenlaufen — den THORChain-Router (0xd37bbe57…, on Etherscan verifiziert als THORChain_Router). Der Fan-out ist reine Tarnung; die Re-Konvergenz beweist eine einzige Operation. Über THORChain wurde die Beute per Streaming-Swap in natives Bitcoin getauscht (die Ziel-Bitcoin-Adressen stehen im Klartext in den Einzahlungs-Memos — fünf distinkte Adressen, von mehreren Tranchen gemeinsam gespeist). Auf der Bitcoin-Seite sind bislang rund 55 BTC (~6,5 Mio. $) angekommen; das Geld wurde je einmal auf eine frische Adresse weitergefegt und ruht dort — noch keine Börse, kein Mixer erreicht. Ab THORChain verlässt das Geld die Ethereum-Kette. Insgesamt waren bis zum Mittag des 25. Juli über die Hälfte der Beute (~57 %, über 7.000 ETH, ~14 Mio. $) abgezogen; rund 5.400 ETH (~10,8 Mio. $) lagen noch in der Halte-Wallet. Jeder Ethereum-Hop wurde on-chain verifiziert; die Zahlen sind eine Momentaufnahme eines noch laufenden Vorgangs.
Was dieser Trace zeigt
