AFX离奇被盗事件审计报告漏洞百出,幕后关联公司疑似新加坡加密交易所Phemex

加密平台AFX的“离奇被盗”事件，引发了市场对审计透明度和平台合规风险的集中审视。其审计报告被指存在严重漏洞与数据矛盾，而多方线索更是将AFX背后的关联公司指向了新加坡加密交易所Phemex。值得注意的是，Phemex此前曾遭超7000万美元的黑客攻击，疑似朝鲜黑客团伙所为。这一连串事件，将加密行业的安全与信任问题再次推向了风口浪尖。

今日，去中心化永续合约交易所 AFX 的跨链桥遭到黑客攻击，超 2400 万美元资产被盗取。从Defillama显示的TVL数据来看，这个金额几乎等同于整个协议被彻底搬空。事发后，AFX在X平台发文表示，正在与领先的安全公司、生态系统合作伙伴、交易所和相关当局密切合作，以监控资金流动并支持正在进行的调查。

一、审计报告千疮百孔

其实，AFX的倒下并非毫无征兆。该项目在5月正式上线主网，并于6月3日发布了审计报告。但在今日被盗事件发生后，多名专业安全人士发现，这份报告本身就存在巨大问题。

在这份由安全审计公司Zellic出具的报告中，声称发现了11项问题，其中两个为关键问题，一个具有高度影响性，六个为中度影响性。但问题在于，这份报告在总结部分就坦诚了其局限性：

“鉴于此次审计仅涵盖了构成桥梁协议的一部分组件，且缺乏对全部安全关键路径的测试覆盖，这尤其显得尤为重要。这不仅限制了我们验证正确性的能力，也限制了AFX未来安全维护系统的能力。此外，一个亟需重新进行审计的关键因素在于，我们当时不具备在实时或本地环境中运行或与之交互的能力。这极大地限制了我们验证功能、探索边缘情况以及进行静态审查之外的系统行为评估的能力。”

这意味着什么？审计机构自己都说了，他们能接触和验证的代码，只覆盖了桥协议的一部分组件，无法覆盖完整的资产跨链流程，也无法在真实运行环境中进行测试。对于跨链桥最核心的资产托管、签名验证、权限控制等关键路径，审计机构实际上根本无法给出完整结论。

更值得注意的是，Zellic还特别提醒，即便项目方根据报告完成漏洞修复，审计机构也无法确认这些修复是否被正确实施，更无法保证修复过程中不会引入新漏洞。说白了，这份报告并不能作为桥协议已经“安全”的证明，它更像是一份针对部分代码的阶段性检查结果。

对于一个管理着数千万美元资产的跨链桥而言，“审计范围不完整”本身就是一种巨大的风险。当审计机构都无法确认整个系统的安全边界时，用户实际上也很难对协议的真实安全性做出判断。

对此，MetaMask首席产品经理、MyEtherWallet与MyCrypto创始人Taylor Monahan发推表示，AFX跨链桥的这份审计报告“非常恐怖”。大量“已确认”的问题却没有修复，她对用户将超过2400万美元转入该协议表示极其不理解。

“这份审计报告强烈指向一个根本不在乎对‘不完全是真正M of N系统’负责的团队。未处理的边缘情况？没问题。手动操作用户资金？没问题。完全依赖团队干预来防止被打劫？没问题。” Taylor Monahan的猜测更为直接：AFX极有可能所有验证器和密钥都在同一个系统上，或者由单一个人控制。

二、母公司疑似为 Phemex

随着调查深入，AFX项目与加密货币交易所Phemex之间的关联浮出水面，甚至Phemex很有可能是其母公司。

团队成员之间的千丝万缕是其中一个关键证据。AFX增长主管Ken的X账号，此前的简介明确写着“Head of Listing @phemex_official”，即Phemex的上币主管。这个岗位在任何交易所都是最核心的职能岗位之一。

AFX官方X账号关注的另一名团队成员Damon，虽然没有更多公开资料介绍，但其X账号在创建并关注AFX账号后，还关注了至少三名Phemex交易所的团队成员。

此外，Phemex交易所官方博客还发布了多篇文章推广介绍AFX，例如《Unlock Your Strength: Discover Why AFX Protocol Transforms Lives》、《The Philosophy of Anti-Fragility: Why AFX Protocol Matters》、《Dive into the Multi-Asset Perps Revolution!》、《Top 5 Perpetual DEXs to Watch in 2026》。在最后一篇文章中，AFX交易所甚至位居Hyperliquid等其他Perp DEX之首。

目前，前述文章已从Phemex官网被删除，但在Google搜索标题时，这些文章的链接仍然出现在搜索结果之中。

另一个关联证据是，两个项目的Logo主题风格非常相似，均采用了从荧光绿到青绿色的渐变色彩，搭配纯黑色背景。视觉氛围、色调取向几乎一致，这也反映出两者可能出自同一设计团队。

综合团队履历、官方历史宣传、品牌设计以及公开运营痕迹来看，AFX与Phemex之间存在远超普通生态合作伙伴的联系。

最令人“细思极恐”的问题在于，Phemex交易所也曾在2025年1月被盗超7000万美元，当时外界分析称大概率是朝鲜黑客所为。当时，Phemex团队表示用户资产不会受到影响，平台会承担此次事件造成的损失，并很快恢复了正常变钱流程。

在推出AFX产品期间，Phemex显然在事前做好了风险隔离，两者在品牌、股权等多个层面都不存在公开关联，但仍然掩盖不住两者千丝万缕的密切关系。如今，损失数千万美元的惨剧再度上演。这究竟是朝鲜黑客故技重施，还是内部人士攒局收割？这一切，仍有赖于更多证据与分析。