L'exploit di AFX Trade ci ricorda che nei perp l'architettura di custodia è un fattore di rischio

Cosa è successo

Il 22-23 luglio, le società di sicurezza Blockaid e PeckShield hanno segnalato un exploit su AFX Trade, un DEX di perpetual futures su Arbitrum, che ha portato via circa 24 milioni di dollari. Secondo quanto riportato da The Block e Decrypt, l'attaccante ha colpito un bridge di custodia gestito da AFX e non la rete Arbitrum stessa, ha trasferito i fondi su Ethereum e li ha scambiati con circa 12.467 ETH. Successivamente, il protocollo ha offerto all'attaccante una taglia del 30% per restituire il resto. Separatamente, un secondo attacco al bridge Verus-Ethereum ha sottratto 7,5 milioni di dollari sfruttando quella che Blockaid ha descritto come la stessa classe di vulnerabilità già vista in un incidente di maggio — il che significa che due guasti significativi ai bridge si sono verificati a circa 48 ore di distanza l'uno dall'altro.

Perché conta per i trader di perp

I trader di perpetual futures tendono a valutare le piattaforme su variabili visibili: tassi di funding, open interest, profondità, commissioni. Exploit come questo ricordano che lo strato meno visibile — come una piattaforma custodisce e sposta il collateral — può renderle irrilevanti in un solo pomeriggio. Un trader con una visione di mercato corretta e stop disciplinati affronta comunque scenari di perdita totale se il bridge o il componente di custodia sottostante cede. Nei derivati, dove la leva amplifica non solo i movimenti di mercato ma anche le conseguenze delle interruzioni forzate (prelievi bloccati, deleveraging di emergenza, mercati sospesi), il rischio di controparte e infrastrutturale non è un fattore secondario. È un input primario per il dimensionamento delle posizioni.

Il pattern: i bridge restano il punto debole

Il secondo exploit del bridge Verus-Ethereum è probabilmente il dato più istruttivo. Una classe di vulnerabilità identificata a maggio è stata sfruttata di nuovo a luglio. I bridge cross-chain concentrano la fiducia in set di validatori, relayer e logiche di verifica dei messaggi che ricadono fuori dal budget di sicurezza delle blockchain che collegano. Per i DEX di perp che dipendono da collateral bridged, questo significa che il profilo di rischio della piattaforma è parzialmente ereditato da infrastrutture che il team di trading non controlla. I trader dovrebbero chiedersi: dove si trova effettivamente il mio margine, cosa lo protegge e cosa succede se quel componente si rompe?

La regolamentazione si muove sullo sfondo

Nella stessa settimana, il Senato ha pubblicato una bozza aggiornata del Clarity Act che include tutele per gli sviluppatori software e una normativa etica con scadenza nel 2029, mentre la SEC Commissioner Hester Peirce ha ammonito i costruttori di vault onchain contro l'idea di aggirare la legge sui titoli, e la SEC ha chiuso la sua lunga controversia sulle documentazioni con Coinbase. Nessuno di questi eventi rappresenta di per sé un catalizzatore di mercato, ma nell'insieme delineano la direzione di marcia: la struttura del mercato onchain — custodia, vault, responsabilità degli sviluppatori — sta essere formalizzata. Le piattaforme e gli strumenti architetturalmente conservativi (netta separazione della custodia, permessi auditabili, nessuna discrezionalità aggregata sui fondi degli utenti) sono meglio posizionati per questo ambiente rispetto a chi fa affidamento sull'ambiguità regolamentare. Le normative di mercato sono in evoluzione; nulla in questa sede costituisce consulenza legale e gli andamenti regolamentari passati non sono indicativi di risultati futuri.