Een hack voelt altijd als een koude douche. Je vertrouwt je geld toe aan een platform, en dan blijkt er ergens een deur openstaan die niemand had gezien. Precies dat overkwam AFX Trade, een handelsplatform op Arbitrum. Er verdween voor 24 miljoen dollar aan tegoeden, en de gestolen munten werden razendsnel doorgesluisd naar Ethereum. Wat er precies misging, en waarom dat lek niet bij Arbitrum zelf lag, lees je hieronder.
Wat is AFX Trade eigenlijk?
AFX Trade is een zogeheten perp DEX. Dat klinkt ingewikkeld, maar het valt uiteen te leggen. “Perp” staat voor perpetual futures: contracten waarmee je speculeert op de koers zonder dat er een einddatum aan zit. “DEX” betekent decentralized exchange, een beurs zonder centrale tussenpartij. Het platform draait op Arbitrum, een zogenoemd layer 2-netwerk dat bovenop Ethereum werkt om transacties sneller en goedkoper te maken.
Belangrijk detail: het lek zat niet in Arbitrum zelf. Het netwerk bleef gewoon draaien. De zwakke plek zat in een custody-brug die AFX apart beheert. Zie zo’n brug als de kluisdeur tussen het platform en de rest van de blockchain. Als die deur niet goed op slot zit, kan iemand naar binnen, ook al staat het gebouw eromheen nog fier overeind.
Hoe de buit naar Ethereum verdween
Zodra de aanvaller binnen was, ging het snel. De gestolen tegoeden werden vrijwel meteen doorgesluisd naar Ethereum. Dat is een klassieke tactiek bij dit soort exploits: geld verplaatsen naar een netwerk met veel liquiditeit, zodat het makkelijker te versnipperen en witwassen is. Beveiligingsbedrijf Blockaid signaleerde de verdachte bewegingen, en de transactie is publiek terug te vinden op de blockchain-explorer van Arbitrum.
Dat alles openbaar is, klinkt gek bij een diefstal, maar het is nu juist de kracht van een blockchain. Elke stap is zichtbaar. De dief kan geld verplaatsen, maar niet onzichtbaar maken.
Een deal met de dief
AFX koos vervolgens voor een aanpak die je de laatste jaren vaker ziet. Het platform bood de hacker aan om 30 procent van de buit te houden, mits de rest wordt teruggestort. In de praktijk komt dat neer op een soort legaal vondstloon. Geen aanklacht, geen jacht, maar een prikkel om het grootste deel terug te geven. Het bericht daarover deelde het team via zijn eigen X-kanaal.
Waarom doet een project zoiets? Omdat de kans om alles terug te krijgen via de rechter vaak klein is, zeker als de dader anoniem blijft. Een deel terugkrijgen is dan beter dan alles verliezen. Het blijft wrang: in feite beloon je iemand voor een inbraak.
Wat je hieruit kunt meenemen
Deze zaak laat iets zien waar je als gebruiker goed van moet doordringen. Het onderliggende netwerk, in dit geval Arbitrum, kan volledig veilig zijn, terwijl de brug of laag eromheen dat niet is. De risico’s zitten steeds vaker in de randjes: bruggen, custody-oplossingen en de plekken waar tegoeden tijdelijk geparkeerd staan.
Voor wie zelf op dit soort platformen actief is, is de les nuchter maar nuttig. Vraag je af wie precies je tegoeden beheert, en of dat een bewezen, gecontroleerd systeem is. Een chique interface zegt niets over de kluisdeur erachter. En zolang je munten op een externe partij staan, ligt de sleutel niet in jouw handen.
