AFX跨链桥遭黑：2400万美元失窃背后的审计失效与隐性关联

一、资产一夜清空：AFX跨链桥被攻破 今日，去中心化永续合约交易所 AFX 的跨链桥遭遇严重安全事件，超过 2400 万美元资产被非法转移。根据链上数据追踪，该金额几乎等同于协议全部锁仓价值（TVL），意味着整座跨链桥在事实上已被掏空。 事件发生后，AFX 在 X 平台发布声明，称正联合多家安全公司、生态伙伴、主流交易所及执法机构协同调查，并持续监控资金流向。但截至目前，未披露攻击路径、漏洞细节或任何阶段性进展。 二、审计报告形同虚设：覆盖不全、验证缺失、修复无证 AFX 项目于今年 5 月上线主网，6 月 3 日公布由 Zellic 出具的审计报告。然而，在本次被盗事件曝光后，多位链上安全研究者指出：这份报告不仅未能预警风险，其方法论本身即存在根本性缺陷。 Zellic 明确承认，本次审计仅覆盖跨链桥部分组件，未触达资产托管、签名验证、权限控制等核心安全路径；更关键的是，审计全程无法在真实或本地环境中运行与交互——既不能复现流程，也无法测试边界条件，静态代码审查成为唯一手段。 报告总结中写道：“我们不具备实时或本地环境下的运行与交互能力……这极大限制了对功能正确性、边缘场景及系统行为的评估。”换言之，审计机构从未真正‘运行过这座桥’，也无从验证它是否真的能安全承载资金。 更值得警惕的是，Zellic 特别强调：即便项目方声称完成修复，审计方亦无法确认修复是否落实、是否引入新问题。这意味着，所谓“已修复高危项”，本质上是未经验证的单方面声明。 三、用户信任崩塌：专业声音直指系统性失职 MetaMask 首席产品经理、MyEtherWallet 与 MyCrypto 创始人 Taylor Monahan 公开批评该审计报告“极其恐怖”。她指出，多项被标记为“已确认”的中高危问题长期未修复，而协议却已开放数千万美元资金存入。 她进一步质疑 AFX 的底层架构逻辑：“这不是一个真正意义上的 M-of-N 多签系统。未处理的边缘情况被容忍，用户资金依赖人工操作，整个防御体系实质上押注于团队不主动作恶。” Monahan 推测，所有验证节点私钥很可能集中部署于同一环境，甚至由单一实体掌控——这与去中心化跨链桥的设计初衷完全背道而驰。 四、隐性母体浮现：Phemex 与 AFX 的深度绑定 深入梳理团队公开信息可见，AFX 与加密货币交易所 Phemex 存在远超普通合作的结构性关联。 AFX 增长主管 Ken 的 X 简介曾明确标注为“Phemex 上币主管”；另一名核心成员 Damon 在注册 X 账号仅 4 个月后，即关注 AFX 官方账号，并同步关注至少三位 Phemex 团队成员。 更值得注意的是，Phemex 官方博客曾密集发布多篇软文式推广文章，将 AFX 包装为“抗脆弱哲学践行者”“多资产永续革命引领者”，甚至在《2026 年值得关注的五大永续 DEX》榜单中将其置于 Hyperliquid 等成熟协议之前。尽管这些文章现已从 Phemex 官网下架，但 Google 缓存与搜索索引仍可追溯原始链接。 视觉层面亦高度趋同：AFX 与 Phemex 品牌均采用荧光绿至青绿渐变色+纯黑背景的统一设计语言，风格一致性远超偶然。 五、历史阴影再现：前车之鉴未成镜鉴 2025 年 1 月，Phemex 曾遭遇超 7000 万美元盗取事件，官方定性为朝鲜黑客组织所为，并承诺全额赔付用户损失。彼时，Phemex 迅速完成资金垫付与服务恢复，但未公开技术复盘细节，亦未说明内部风控机制如何失效。 而在 AFX 推出过程中，Phemex 与之在法律实体、股权结构、品牌归属等层面保持刻意隔离。这种“物理分离、实质一体”的运作模式，使风险责任边界模糊，用户难以识别真实运营主体。 当 2400 万美元再度蒸发，问题已不止于技术漏洞：它暴露出一种更深层的隐患——当审计沦为形式、关联刻意隐藏、安全让位于叙事，去中心化基础设施的信任基石，正在无声瓦解。