Ondata di attacchi ai bridge DeFi luglio 2026: cosa devono fare ora gli utenti di AFX Trade, VerusCoin e BSquared

24 luglio 2026·8 min·Risposta agli Incidenti

Tra il 22 e il 23 luglio 2026, tre bridge cross-chain sono stati attaccati nell'arco di 24 ore. AFX Trade ha perso 24,15 milioni di USD in USDC tramite la compromissione delle chiavi dei validatori sul suo bridge Arbitrum. VerusCoin ha perso 7,54 milioni tramite una vulnerabilità riutilizzata nel suo bridge Ethereum, con i fondi instradati immediatamente attraverso Tornado Cash. BSquared Network ha perso 3,86 milioni in token B2 tramite accesso non autorizzato a una chiave di aggiornamento dello smart contract. Le perdite combinate hanno raggiunto 35,55 milioni di USD. Se avevi fondi in uno di questi protocolli, questa guida spiega esattamente cosa fare ora.

Azione immediata richiesta

Se avevi fondi in AFX Trade, VerusCoin o BSquared, revoca immediatamente tutte le approvazioni di token su revoke.cash e non interagire con nessuno che affermi di poterti aiutare a recuperare i fondi. Il tempo è cruciale per il congelamento degli asset a livello di exchange.

1. Cosa è successo

Il 22 luglio 2026 alle 21:30 UTC, un attaccante ha compromesso le chiavi di firma dei validatori del bridge cross-chain di AFX Trade su Arbitrum. Ottenendo il controllo di 5 degli N validatori e raggiungendo il quorum di firma, l'attaccante ha inviato un messaggio di prelievo fraudolento. Poiché nessuna contestazione è stata presentata entro la finestra di 200 secondi, il contratto del bridge ha automaticamente validato la transazione. L'attaccante ha prelevato 24,15 milioni di USD in USDC, trasferito i fondi su Ethereum e li ha convertiti in circa 12.467 ETH. Blockaid ha rilevato il deflusso in tempo reale. AFX Trade ha sospeso il bridge e ha ingaggiato SlowMist e Zellic per l'analisi forense. L'infrastruttura di Arbitrum non è stata compromessa, come confermato pubblicamente dal co-fondatore di Offchain Labs Steven Goldfeder. AFX Trade ha poi offerto all'attaccante un accordo white hat: restituire il 70% e trattenere il 30% (~7,2M USD) senza conseguenze legali.

Il 23 luglio, il bridge Ethereum di VerusCoin è stato attaccato per la seconda volta in due mesi. L'attaccante ha sfruttato una vulnerabilità di "pagamenti non coperti" utilizzata anche nell'hack di VerusCoin del maggio 2026, che era costato 11,5 milioni di dollari. L'attacco consentiva di coniare token sul lato Ethereum del bridge senza bloccare la garanzia equivalente sulla catena Verus. SlowMist ha confermato il riutilizzo della stessa classe di vulnerabilità. Circa 7,54 milioni di USD in asset misti (ETH, tBTC, USDC, USDT e DAI) sono stati sottratti. L'attaccante ha convertito i proventi in circa 3.916 ETH e li ha riciclati tramite Tornado Cash in poche ore. Il recupero diretto degli asset è estremamente improbabile.

Sempre il 23 luglio, il bridge BNB Chain di BSquared Network è stato attaccato quando un avversario ha ottenuto accesso non autorizzato alla chiave di autorità di aggiornamento dello smart contract. L'attaccante ha usato questo accesso privilegiato per drenare 8,59 milioni di token B2 (circa 3,86M USD). I token sono stati scambiati con 5.409 WBNB (~3,11M USD), trasferiti su Ethereum e convertiti in Zcash. BSquared ha sospeso lo staking di B2 e ha confermato pubblicamente l'incidente, impegnandosi a risarcire integralmente tutti gli utenti colpiti. Secondo il rapporto H1 2026 di TRM Labs, che ha registrato 207 hack per un totale di 972 milioni di dollari, questi tre attacchi in 24 ore rappresentano una versione concentrata del pattern più ampio: i fallimenti infrastrutturali e operativi rappresentano ora più del 75% del valore totale sottratto.

2. Chi è colpito

Utenti del bridge AFX Trade

Qualsiasi utente che aveva USDC depositato nel bridge da Arbitrum a Ethereum di AFX Trade, o che aveva approvazioni di token attive per i contratti AFX Trade su Arbitrum, è direttamente colpito. Il recupero dipendrà dall'esito dell'offerta white hat e da qualsiasi meccanismo di compensazione annunciato da AFX Trade.

Utenti del bridge VerusCoin

Gli utenti che detenevano ETH, tBTC, USDC, USDT o DAI nel bridge Ethereum di Verus al momento dell'attacco sono colpiti. Poiché i fondi rubati sono stati riciclati tramite Tornado Cash quasi immediatamente, il recupero diretto è estremamente improbabile.

Detentori di token B2 di BSquared

Gli utenti che facevano staking o detenevano token B2 tramite il bridge BNB Chain di BSquared sono colpiti. BSquared si è esplicitamente impegnata a un rimborso integrale. Monitora i canali ufficiali di BSquared per il meccanismo e i criteri di idoneità.

3. Passi di azione immediata

Segui questi passaggi ora. L'ordine è importante.

Smetti di interagire con i contratti dei protocolli colpiti. Non tentare di prelevare, fare swap o interagire con nessuna interfaccia di AFX Trade, bridge VerusCoin o staking BSquared fino a quando ogni team non fornisce indicazioni ufficiali.
Revoca tutte le approvazioni di token dei protocolli colpiti. Vai su revoke.cash e controlla le approvazioni su Arbitrum (AFX Trade), Ethereum (bridge VerusCoin) e BNB Chain (BSquared). Revoca qualsiasi approvazione per gli indirizzi dei contratti di questi protocolli.
Documenta tutte le transazioni. Esporta la cronologia delle transazioni del tuo wallet da Arbiscan, Etherscan o BscScan. Registra ogni deposito, data, importo e hash della transazione.
Presenta una denuncia all'FBI IC3. Vai su ic3.gov e invia una denuncia. Includi il nome del protocollo, gli indirizzi dei contratti, il tuo indirizzo wallet, gli hash delle transazioni, gli importi e le date.
Segnala al tuo regolatore finanziario locale. Presenta un reclamo all'autorità competente del tuo paese: FCA (UK), BaFin (Germania), FINMA (Svizzera), CONSOB (Italia), AMF (Francia). Indica la data dell'incidente (22-23 luglio 2026) e la rete blockchain.
Contatta l'exchange dove hai acquistato i token colpiti. Se hai acquistato USDC, ETH o token B2 su un exchange centralizzato prima di depositarli, contatta il team di compliance di quell'exchange con gli indirizzi wallet dell'attaccante.
Attenzione alle truffe di recupero. Dopo qualsiasi exploit importante, le reti criminali diffondono dati delle vittime. Chiunque ti contatti non richiesto offrendo di recuperare i tuoi fondi, soprattutto chiedendo commissioni anticipate in criptovalute, sta quasi certamente eseguendo una seconda truffa.

4. Come verificare se sei stato colpito

Arbiscan (AFX Trade): Cerca il tuo wallet su arbiscan.io. Cerca transazioni agli indirizzi verificati dei contratti AFX Trade.
Etherscan (bridge VerusCoin): Cerca il tuo wallet su etherscan.io. Cerca transazioni al contratto del bridge Ethereum di VerusCoin.
BscScan (BSquared): Cerca il tuo wallet su bscscan.com. Cerca transazioni di staking token B2 tramite i contratti BSquared Network.
Revoke.cash (multi-chain): Visita revoke.cash e controlla le approvazioni su Arbitrum, Ethereum e BNB Chain.
De.Fi Shield: Connetti i tuoi wallet su de.fi per una valutazione del rischio multi-chain.

5. Come può aiutare Recoveris

Recoveris è una società di intelligence blockchain specializzata nel tracciamento di asset crypto rubati e nel coordinamento con le autorità e gli exchange. Nei casi di attacco ai bridge come questi, la blockchain forensics ha un ruolo specifico e limitato.

Per AFX Trade, l'USDC rubato è stato convertito in ETH su Ethereum. L'analisi forense può mappare il movimento successivo di quei fondi tra wallet, identificare eventuali tentativi di deposito sugli exchange e produrre un report probatorio utilizzabile dalle autorità.

Per VerusCoin, i fondi sono passati attraverso Tornado Cash quasi immediatamente. La probabilità di recupero diretto degli asset è bassa. Presentare una denuncia all'IC3 rimane utile per il registro legale.

Per BSquared, i token B2 sono stati convertiti in WBNB, trasferiti su Ethereum e convertiti in Zcash. Il tracciato on-chain tra il furto sulla BNB Chain e la conversione in Zcash potrebbe essere mappabile. L'impegno di BSquared alla compensazione integrale riduce l'urgenza della forensics esterna per la maggior parte degli utenti.

Ambito della blockchain forensics:

L'analisi forense non garantisce il recupero dei fondi. Supporta le indagini delle autorità e rafforza le rivendicazioni legali. Se la tua perdita supera 50.000 USD, hai registri completi delle transazioni e sei disposto a cooperare con le autorità, contatta Recoveris per una valutazione del caso.

6. Risorse ufficiali

FBI IC3: ic3.gov
Revoke.cash: revoke.cash
Arbiscan: arbiscan.io
Etherscan: etherscan.io
BscScan: bscscan.com
SEAL 911: seal911.io
FTC (USA): reportfraud.ftc.gov

Domande frequenti

Avevo USDC depositato nel bridge di AFX Trade. I miei fondi sono persi?

AFX Trade ha offerto all'attaccante un accordo white hat: restituire il 70% dei 24,15M USD e trattenere il 30% (~7,2M USD). Se l'attaccante accetta, un recupero parziale potrebbe essere possibile. In caso contrario, dipenderà dall'azione delle autorità e da qualsiasi meccanismo di compensazione annunciato da AFX. Presenta subito la tua denuncia all'IC3 per stabilire la tua legittimazione legale.

Il bridge VerusCoin era già stato hackerato a maggio 2026. Perché è successo di nuovo?

L'attaccante del 23 luglio ha sfruttato la stessa classe di vulnerabilità utilizzata nell'hack di VerusCoin di maggio 2026: un difetto di 'pagamenti non coperti' che consente di coniare token sul lato Ethereum senza bloccare la garanzia equivalente. La correzione di maggio era incompleta o una variante correlata è rimasta sfruttabile. SlowMist ha confermato il riutilizzo. I fondi dell'attacco di luglio sono stati inviati attraverso Tornado Cash entro poche ore, rendendo il recupero diretto estremamente improbabile.

Qualcuno mi ha contattato offrendo di recuperare i miei fondi dal bridge. Devo pagare?

No. Dopo qualsiasi exploit importante, le reti criminali diffondono dati delle vittime e le truffe di recupero colpiscono direttamente gli utenti colpiti. Chiunque ti contatti non richiesto chiedendo commissioni anticipate, soprattutto in criptovalute, sta quasi certamente eseguendo una seconda truffa. Le società forensi legittime forniscono lettere di incarico scritte, non garantiscono mai i risultati e non accettano mai criptovalute come pagamento delle commissioni.

Hai perso fondi negli attacchi ai bridge di luglio 2026?

Recoveris è specializzata in blockchain forensics e recupero di asset digitali. Possiamo aiutarti a documentare la tua perdita, tracciare i fondi e costruire un caso per le autorità.

Ottieni una valutazione gratuita del caso