审计存巨坑，AFX被盗2400万美元，疑Phemex幕后操盘

据 Woofun AI 消息，去中心化永续合约平台的跨链桥AFX遭遇黑客攻击，导致超过2400万美元资产被盗，这一金额相当于该协议在Defillama上显示的总锁仓量（TVL）全部归零。事件发生后，AFX迅速在X平台发布声明，称正与知名安全公司、生态合作伙伴、各类交易所及监管机构紧密协作，追踪资金流向并配合调查。

然而，此次安全事件并非孤立发生，其背后暴露出的审计缺陷与团队背景疑云，正引发社区对DeFi基础设施安全性的深层担忧。

审计报告的局限性在此次事件中显得尤为致命。AFX于5月正式推出主网，并在6月3日发布了由Zellic出具的审计报告。然而，多位专业安全专家在盗窃案发生后指出，该报告存在严重漏洞。Zellic在报告中承认发现了11个问题，其中2个属于严重级别，6个属于中等影响级别。

更关键的是，审计范围仅覆盖了跨链桥协议的部分组件，未能对所有关键安全路径进行测试。Zellic明确表示，由于无法在实时或本地环境中运行或测试相关功能，仅依靠静态审查极大地限制了其验证功能、探索边缘情况及评估系统行为的能力。

这意味着，对于资产托管、签名验证及权限控制等核心环节，审计机构无法给出完整结论。即便项目团队修复了所有漏洞，Zellic也无法确认修复是否真正正确实施，或是否引入了新漏洞。因此，这份报告实际上不能作为协议"安全"的证明，而仅是对部分代码的阶段性检测。对于一个管理数千万美元资产的跨链桥而言，"审计范围不完整"本身即构成巨大风险。MetaMask首席产品经理、MyEtherWallet和MyCrypto创始人泰勒·莫纳汉在Crypto Twitter上严厉批评该报告"令人恐惧"，指出其中许多"已确认"问题仍未解决，他难以相信竟有人将2400多万美元投入此类平台。莫纳汉推测，AFX可能将所有验证者及私钥置于同一系统或由同一人掌控，完全依赖团队干预来避免被盗，这种"并非完全可靠的M of N系统"设计暴露了团队对责任的漠视。

Woofun AI 整理数据显示，AFX团队与加密货币交易平台Phemex之间存在深度关联，后者极可能是其母公司。AFX 增长总监肯的 X 账户曾自称是"@phemex_official的上市负责人"，这在交易所中属于核心职位。另一位被AFX官方关注的团队成员 Damon，其 X 账户创建于四个月前，且关注了Phemex至少三位成员。

此外，Phemex 官方博客曾发表多篇宣传AFX的文章，包括《释放您的潜力：了解为何AFX协议能改变生活》、《反脆弱哲学：为何AFX协议如此重要》、《深入探讨多资产永续合约革命！》及《2026年值得关注的五大永续合约DEX》，在这些文章中，AFX 甚至被排在 Hyperliquid等其他永续合约DEX之前。

尽管这些文章已从Phemex 官网删除，但通过谷歌搜索仍能找到相关链接。品牌视觉方面，AFX 与 Phemex 的标志风格极为相似，均采用从荧光绿到青色的渐变色彩，背景为纯黑色，视觉氛围几乎一致，暗示两者可能拥有相同的设计团队。从团队背景、历史宣传、品牌设计及操作痕迹来看，AFX 与 Phemex 的关联远超普通生态合作伙伴。

Phemex过往的安全记录为此次事件增添了阴影。2025年1月，Phemex 曾遭黑客攻击，损失超过7000万美元，外部分析人士推测系朝鲜黑客所为。当时，Phemex 声称用户资产未受影响，平台承担损失并迅速恢复提款功能。在AFX 产品推出之际，Phemex 显然已提前布局风险隔离策略，两者在品牌与股权上无公开关联，但复杂联系难以隐藏。如今，数千万美元资产再次丢失，悲剧重演。这是朝鲜黑客惯用手段的重复，还是内部人员企图窃取资产的阴谋，仍有待更多证据与分析才能得出结论。