أرسوس، بورصة لامركزية تعمل على سلسلة روبنهود، دفعت 2,234,391 دولارًا أمريكيًا من USDG إلى مُستغل بعد أن سمح خطأ بحساب تم إنشاؤه حديثًا بزيادة رصيده الخاص.
تعزو شركة الأمن CertiK الحادث إلى تجاوز عدد صحيح. هذا هو نوع الخطأ الحسابي حيث ينخفض الرقم أسفل الصفر ويعود إلى قيمة موجبة ضخمة. تخيل عداد المسافة يتحرك للخلف عبر الصفر ويتوقف عند 999,999.
حدثت المدفوعات عبر تسعة تحويلات منفصلة عبر BridgeVault إلى محفظة أعلنتها Arcus منذ ذلك الحين. كان يمكن أن يكون الضرر أكبر. وقد نشط حدّ معدل على السلسلة مبكرًا وحجب ما يقدر بـ 3 ملايين دولار من عمليات سحب إضافية.
كيف تطور الاستغلال
بدأ المشكل تقريبًا في الساعة 10:07 مساءً بتوقيت شرق الولايات المتحدة في 9 نوفمبر 2026. استغل حساب جديد ثغرات في كيفية تعامل Arcus مع التحويلات بين الحسابات الفرعية، مما سمح له بزيادة رصيده بشكل كبير أكثر من مبلغ الإيداع الفعلي.
تُظهر تقرير الحادث الخاص بالبورصة تاريخ 9 نوفمبر. وتشير CertiK إلى أن نشاط الدفتر المعني والتنفيذات على السلسلة وقعت في 10 نوفمبر بتوقيت عالمي منسق. مساء متأخر على الساحل الشرقي للولايات المتحدة هو بالفعل اليوم التالي بتوقيت عالمي منسق، لذا فإن كلا التاريخين يصفان نفس الليلة.
جدول الوقت للرد، وفقًا لنتائج البحث العميق، كان كالتالي:
- حوالي 10:10 مساءً بتوقيت شرق الولايات المتحدة: تم تفعيل حد معدل الجسر على السلسلة
- 10:15 مساءً بتوقيت شرق الولايات المتحدة: تم تحديد النشاط من خلال المراقبة الداخلية
- 11:07 مساءً بتوقيت شرق الولايات المتحدة: أوقفت Arcus عمليات السحب عبر المنصة بأكملها
- بعد حوالي 30 دقيقة من التوقف: تم نشر الإصلاح
- 4:26 صباحًا بتوقيت شرق الولايات المتحدة، 10 نوفمبر: تم استئناف السحوبات
تم إلغاء حوالي 3 ملايين دولار من طلبات السحب التي كانت معلقة بسبب حدود المعدل بمجرد تفعيل الإصلاح. وقد غادر المهاجم مع الـ 2,234,391 USDG التي تم تأكيدها بالفعل، ولا شيء أكثر من ذلك.
نقطة دقيقة تستحق التوضيح: تصرّح CertiK صراحةً أن عدد الرموز ليس خسارة بالدولار مستقلة أو مقياسًا لأرباح المهاجم. الرقم يصف عدد رموز USDG التي تم نقلها. إنه ليس حسابًا مُؤكّدًا لما كسبه أو خسره أي شخص من حيث الدولارات.
تغطي أركوس الفجوة وتعلن مكافأة
يقول أركوس إنه غطى العجز من خزينة الشركة. وفقًا لنتائج البحث، لم تتأثر أموال أي مستخدمين آخرين سلبًا، وعادت العمليات للعمل خلال ساعات.
كما اتخذت البورصة مسار الشفافية. فقد نشرت عنوان المُستغل وتعمل مع محققين في سلسلة الكتل لتتبع الأموال.
هناك أيضًا زاوية تفاوض. وفقًا للتقارير، عرضت Arcus مكافأة على المُستغل مقابل إرجاع جزء كبير من الرموز. ما إذا كان المُستغل قد قبل العرض لا يزال غير معروف.
تم وصف الحادث على أنه خطأ محاسبي داخلي، وليس عيبًا في أمان العقد الذكي.
الخلفية: Arcus و Robinhood Chain
Arcus هو بورصة لامركزية متوافقة مع فريق dYdX، أحد أسماء التداول المشتقة على السلسلة الأطول عمراً. وهي تعمل على سلسلة Robinhood وتُسَلِّم المدفوعات بالعملة USDG من خلال BridgeVault.
في 13 نوفمبر 2026، لم تكن هناك تقارير عن انتشار واسع في السوق مرتبط بالاستغلال. يبدو أن الضرر مقتصر على Arcus نفسه، وقد امتصته الشركة.
ماذا يعني هذا
أدق تفصيل هنا هو فجوة الجدول الزمني. تم تفعيل حد سرعة الجسر حوالي 10:10 مساءً بتوقيت شرق الولايات المتحدة، بعد ثلاث دقائق من الاستغلال. لم يُعلَن التوقف الشامل للمنصة حتى 11:07 مساءً، أي بعد نحو ساعة من اكتشاف المشكلة عبر المراقبة عند 10:15.
خلال تلك النافذة، كان جهاز الإيقاف التلقائي يؤدي معظم العمل الثقيل. بدونه، كان من المحتمل أن تنضم طلبات الحظر البالغة قيمتها 3 ملايين دولار تقريبًا إلى الـ 2,234,391 USDG التي خرجت بالفعل.
الدرس الثاني يتعلق بموقع وجود المخاطر فعليًا. تركز المراجعات عادةً على العقود الذكية، ووفقًا للتقارير، لم تكن عقود Arcus هي النقطة الضعيفة. كان الخلل موجودًا في منطق المحاسبة الداخلي لتحويلات الحسابات الفرعية، وهي طبقة سهلة التغاضي عنها لأنها تبدو وكأنها محاسبة وليس أمانًا.
إن حدوث تجاوزات صحيحة هو فئة معروفة من الأخطاء. ظهورها في نظام إنتاجي مرتبط بفريق ذو خبرة هو تذكير بأن أنماط الفشل المألوفة تستمر في الظهور أينما لامس الحساب الرصيد.
بالنسبة للتجار، فإن الدعم المالي هو الجزء المطمئن. تم تعويض المستخدمين بالكامل، وعادت المنصة للعمل بحلول الصباح الباكر من اليوم التالي.
الأشياء التي يجب مراقبتها الآن هي ملموسة إلى حد كبير. أولاً، ما إذا كان المُستغل يقبل المكافأة ويعيد حصة ذات معنى من الرموز. ثانيًا، ما إذا كانت Arcus تنشر تقريرًا تقنيًا أكثر شمولًا يشرح كيف تسلل التدفق السالب وما هي التحققات التي تم إضافتها.
ثالثًا، ما إذا كانت المواقع الأخرى على سلسلة Robinhood ستراجع حدود الجسر الخاصة بها بناءً على كمية الوقت التي وفرتها هذه العملية. استجابة مدتها ثلاث دقائق من حد تلقائي، مقابل ساعة لإيقاف يدوي، تقدم حجة مقنعة إلى حد كبير لأتمتة العملية.