Onda de ataques a bridges DeFi em julho de 2026: o que os utilizadores de AFX Trade, VerusCoin e BSquared devem fazer agora

24 de julho de 2026·8 min·Resposta a Incidentes

Entre 22 e 23 de julho de 2026, três bridges cross-chain foram atacadas em 24 horas. A AFX Trade perdeu 24,15 milhões de USD em USDC através do comprometimento de chaves de validador na sua bridge Arbitrum. A VerusCoin perdeu 7,54 milhões através de uma vulnerabilidade reutilizada na sua bridge Ethereum, com fundos lavados imediatamente através do Tornado Cash. A BSquared Network perdeu 3,86 milhões em tokens B2 através de acesso não autorizado a uma chave de atualização de contrato inteligente. As perdas combinadas atingiram 35,55 milhões de USD. Se tinha fundos em algum destes protocolos, este guia cobre exatamente o que precisa de fazer agora.

Ação imediata necessária

Se tinha fundos na AFX Trade, VerusCoin ou BSquared, revogue imediatamente todas as aprovações de tokens em revoke.cash e não interaja com ninguém que afirme poder ajudá-lo a recuperar os fundos.

1. O que aconteceu

A 22 de julho de 2026, às 21:30 UTC, um atacante comprometeu as chaves de assinatura dos validadores da bridge cross-chain da AFX Trade na Arbitrum. Ao obter o controlo de 5 dos N validadores e atingir o quórum de assinatura, o atacante enviou uma mensagem de levantamento fraudulenta. Como nenhuma contestação foi apresentada durante a janela de 200 segundos, o contrato da bridge validou automaticamente a transação. O atacante levantou 24,15 milhões de USD em USDC, transferiu os fundos para a Ethereum e converteu-os em cerca de 12.467 ETH. A Blockaid detetou a saída de fundos em tempo real. A AFX Trade suspendeu a bridge e contratou a SlowMist e a Zellic para análise forense. A infraestrutura da Arbitrum não foi comprometida, conforme confirmado publicamente pelo co-fundador da Offchain Labs, Steven Goldfeder. A AFX Trade ofereceu posteriormente ao atacante um acordo white hat: devolver 70% e manter 30% (~7,2M USD) sem consequências legais.

A 23 de julho, a bridge Ethereum da VerusCoin foi atacada pela segunda vez em dois meses. O atacante explorou uma vulnerabilidade de "pagamentos não cobertos" utilizada também no hack da VerusCoin de maio de 2026, que custou 11,5 milhões de dólares. O ataque permitia a criação de tokens no lado Ethereum da bridge sem bloquear a garantia equivalente na cadeia Verus. A SlowMist confirmou a reutilização da mesma classe de vulnerabilidade. Cerca de 7,54 milhões de USD em ativos mistos (ETH, tBTC, USDC, USDT e DAI) foram roubados. O atacante converteu os fundos em cerca de 3.916 ETH e lavou-os através do Tornado Cash em poucas horas. A recuperação direta de ativos é extremamente improvável.

Também a 23 de julho, a bridge BNB Chain da BSquared Network foi atacada quando um adversário obteve acesso não autorizado à chave de autoridade de atualização do contrato inteligente. O atacante usou este acesso privilegiado para drenar 8,59 milhões de tokens B2 (cerca de 3,86M USD). Os tokens foram trocados por 5.409 WBNB (~3,11M USD), transferidos para a Ethereum e convertidos em Zcash. A BSquared suspendeu o staking de B2 e confirmou publicamente o incidente, comprometendo-se a compensar integralmente todos os utilizadores afetados. De acordo com o relatório H1 2026 da TRM Labs, que registou 207 hacks com um total de 972 milhões de dólares, estes três ataques em 24 horas representam uma versão concentrada do padrão mais amplo: as falhas de infraestrutura e operacionais representam agora mais de 75% do valor total roubado.

2. Quem foi afetado

Utilizadores da bridge AFX Trade

Qualquer utilizador que tinha USDC depositado na bridge de Arbitrum para Ethereum da AFX Trade, ou que tinha aprovações de tokens ativas para contratos da AFX Trade na Arbitrum, está diretamente afetado.

Utilizadores da bridge VerusCoin

Os utilizadores que tinham ETH, tBTC, USDC, USDT ou DAI na bridge Ethereum da Verus no momento do ataque estão afetados. Como os fundos roubados foram lavados através do Tornado Cash quase de imediato, a recuperação direta é extremamente improvável.

Detentores de tokens B2 da BSquared

Os utilizadores que faziam staking ou detinham tokens B2 através da bridge BNB Chain da BSquared estão afetados. A BSquared comprometeu-se explicitamente a um reembolso integral. Monitorize os canais oficiais da BSquared para o mecanismo e os critérios de elegibilidade.

3. Passos de ação imediata

Siga estes passos agora. A ordem importa.

Pare de interagir com os contratos dos protocolos afetados. Não tente levantar fundos, fazer swap ou interagir com qualquer interface da AFX Trade, bridge VerusCoin ou staking BSquared até que cada equipa forneça orientação oficial.
Revogue todas as aprovações de tokens dos protocolos afetados. Aceda a revoke.cash e verifique as aprovações na Arbitrum (AFX Trade), Ethereum (bridge VerusCoin) e BNB Chain (BSquared).
Documente todas as transações. Exporte o histórico de transações da sua wallet a partir do Arbiscan, Etherscan ou BscScan. Registe cada depósito, data, montante e hash da transação.
Apresente uma queixa ao FBI IC3. Aceda a ic3.gov e envie uma queixa com o nome do protocolo, endereços dos contratos, endereço da sua wallet, hashes das transações, montantes e datas.
Reporte ao seu regulador financeiro local. Apresente uma queixa à autoridade competente do seu país: FCA (Reino Unido), BaFin (Alemanha), FINMA (Suíça), AMF (França), CONSOB (Itália), CMVM (Portugal).
Contacte a exchange onde comprou os tokens afetados. Se comprou USDC, ETH ou tokens B2 numa exchange centralizada antes de os depositar, contacte a equipa de compliance dessa exchange com os endereços wallet do atacante.
Cuidado com os burlistas de recuperação. Após qualquer exploit importante, redes criminosas fazem circular dados de vítimas. Qualquer pessoa que o contacte sem solicitação oferecendo recuperar os seus fundos, especialmente pedindo taxas antecipadas em criptomoedas, está quase certamente a executar uma segunda burla.

4. Como verificar se foi afetado

Arbiscan (AFX Trade): Pesquise a sua wallet em arbiscan.io.
Etherscan (bridge VerusCoin): Pesquise a sua wallet em etherscan.io.
BscScan (BSquared): Pesquise a sua wallet em bscscan.com.
Revoke.cash (multi-cadeia): Verifique aprovações na Arbitrum, Ethereum e BNB Chain em revoke.cash.
Comunicações oficiais dos protocolos: Monitorize os canais oficiais da AFX Trade, VerusCoin e BSquared para atualizações sobre prazos de compensação.

5. Como a Recoveris pode ajudar

A Recoveris é uma empresa de inteligência blockchain especializada em rastrear ativos crypto roubados. Para AFX Trade, o USDC roubado foi convertido em ETH. A análise forense pode mapear o movimento subsequente desses fundos e identificar tentativas de depósito em exchanges. Para VerusCoin, os fundos passaram pelo Tornado Cash quase de imediato, tornando a recuperação direta extremamente improvável. Para BSquared, o compromisso de compensação integral reduz a urgência da perícia externa.

Âmbito da blockchain forensics:

A análise forense não garante a recuperação de fundos. Apoia as investigações das autoridades e reforça as reivindicações legais. Se a sua perda exceder 50.000 USD e tiver registos completos das transações, contacte a Recoveris para uma avaliação do caso.

6. Recursos oficiais

FBI IC3: ic3.gov
Revoke.cash: revoke.cash
Arbiscan: arbiscan.io
Etherscan: etherscan.io
BscScan: bscscan.com
SEAL 911: seal911.io

Perguntas frequentes

Tinha USDC depositado na bridge da AFX Trade. Os meus fundos estão perdidos?

A AFX Trade ofereceu ao atacante um acordo white hat: devolver 70% dos 24,15M USD e manter 30% (~7,2M USD). Se o atacante aceitar, uma recuperação parcial pode ser possível. Em caso contrário, dependerá da ação das autoridades. Apresente já a sua queixa no IC3 para estabelecer a sua legitimidade legal.

A bridge da VerusCoin já tinha sido hackeada em maio de 2026. Porque aconteceu novamente?

O atacante de 23 de julho explorou a mesma classe de vulnerabilidade utilizada no hack da VerusCoin de maio de 2026: uma falha de 'pagamentos não cobertos'. A correção de maio era incompleta ou uma variante relacionada permaneceu explorável. Os fundos do ataque de julho foram enviados através do Tornado Cash em poucas horas, tornando a recuperação direta extremamente improvável.

Alguém contactou-me oferecendo recuperar os meus fundos da bridge. Devo pagar?

Não. Após qualquer exploit importante, redes criminosas fazem circular dados de vítimas e os burlistas de recuperação visam diretamente os utilizadores afetados. Qualquer pessoa que o contacte sem solicitação pedindo taxas antecipadas está quase certamente a executar uma segunda burla. Empresas forenses legítimas fornecem contratos escritos, nunca garantem resultados e nunca aceitam criptomoedas como pagamento.

Perdeu fundos nos ataques a bridges de julho de 2026?

A Recoveris é especializada em blockchain forensics e recuperação de ativos digitais. Podemos ajudá-lo a documentar a sua perda, rastrear fundos e construir um caso para as autoridades.

Obter avaliação gratuita