Arcus, un exchange descentralizado que funciona en Robinhood Chain, pagó 2.234.391 USDG a un explotador tras un error que permitió a una cuenta recién creada inflar su propio saldo.
La empresa de seguridad CertiK atribuye el incidente a un desbordamiento entero. Es el tipo de error matemático en el que un número cae por debajo de cero y se envuelve en un valor positivo enorme. Imagina un odómetro que retrocede más allá de cero y se detiene en 999,999.
Los pagos ocurrieron a través de nueve transferencias separadas de BridgeVault a un monedero que Arcus ha hecho público desde entonces. El daño podría haber sido mayor. Un límite de tasa en la cadena se activó temprano y bloqueó retiradas adicionales estimadas en $3 millones.
Cómo se desarrolló la explotación
El problema comenzó aproximadamente a las 10:07 p.m. ET el 9 de noviembre de 2026. Una cuenta recién creada aprovechó vulnerabilidades en cómo Arcus gestionaba las transferencias entre subcuentas, lo que le permitió aumentar su saldo mucho más allá de lo que realmente había depositado.
El informe de incidente del exchange lleva la fecha del 9 de noviembre. CertiK señala que la actividad correspondiente en el libro mayor y las ejecuciones en cadena ocurrieron el 10 de noviembre UTC. La tarde tardía en la costa este de EE.UU. ya es el día siguiente en UTC, por lo que ambas fechas describen la misma noche.
La línea de tiempo de la respuesta, según los hallazgos de la investigación profunda, fue así:
- Aproximadamente a las 10:10 p.m. ET: se activó el límite de tasa del puente en la cadena
- 10:15 p.m. ET: la supervisión interna detectó la actividad
- 11:07 p.m. ET: Arcus pausó los retiros en toda la plataforma
- Aproximadamente 30 minutos después de la pausa: se implementó una corrección
- 4:26 a.m. ET, 10 de noviembre: los retiros se reanudaron
Aproximadamente $3 millones en solicitudes de retiro que habían sido detenidas por el límite de tasa fueron revertidas una vez que se implementó la corrección. El explotador se llevó los 2,234,391 USDG que ya habían sido aprobados, y nada más.
Una sutileza importante a tener en cuenta: CertiK indica explícitamente que el recuento de tokens no representa una pérdida en dólares independientemente valorada ni una medida de las ganancias del atacante. La cifra describe cuántos tokens USDG se movieron. No es un registro verificado de lo que alguien ganó o perdió en términos de dólares.
Arcus cubre la brecha y ofrece una recompensa
Arcus dice que cubrió el déficit desde su tesorería corporativa. Según los hallazgos de la investigación, ningún otro fondo de usuario se vio afectado negativamente, y las operaciones se reanudaron dentro de pocas horas.
El exchange también optó por la transparencia. Publicó la dirección del explotador y está trabajando con investigadores de la cadena de bloques para rastrear los fondos.
También hay un ángulo de negociación. Se informa que Arcus ofreció al explotador una recompensa a cambio de devolver una parte sustancial de los tokens. No se sabe si el explotador aceptó el acuerdo.
El incidente ha sido caracterizado como un error contable interno, no como una falla en la seguridad del contrato inteligente.
Fondo: Arcus y Robinhood Chain
Arcus es un exchange descentralizado alineado con el equipo de dYdX, uno de los nombres más establecidos en el comercio de derivados en cadena. Opera en Robinhood Chain y liquida los pagos en USDG a través de su BridgeVault.
Al 13 de noviembre de 2026, no hubo informes de contagio generalizado del mercado vinculado a la explotación. El daño parece estar contenido en Arcus mismo, y la empresa lo asumió.
Qué significa esto
El detalle más instructivo aquí es la brecha en el cronograma. El límite de tasa del puente se activó alrededor de las 10:10 p.m. ET, tres minutos después del exploit. La pausa en toda la plataforma no se implementó hasta las 11:07 p.m., casi una hora después de que el monitoreo detectara el problema a las 10:15.
Durante ese período, el interruptor automático realizó la mayor parte del trabajo pesado. Sin él, los aproximadamente 3 millones de dólares en solicitudes bloqueadas probablemente se habrían sumado a los 2.234.391 USDG que ya habían salido.
La segunda lección trata sobre dónde reside realmente el riesgo. Las auditorías tienden a concentrarse en contratos inteligentes, y se informa que los contratos de Arcus no fueron el punto débil. El fallo se encontró en la lógica contable interna para transferencias de subcuentas, una capa que es fácil de pasar por alto porque parece contabilidad en lugar de seguridad.
Los desbordamientos enteros son una clase bien conocida de errores. Su aparición en un sistema de producción vinculado a un equipo experimentado es un recordatorio de que los modos de fallo familiares siguen reapareciendo siempre que la aritmética toca saldos.
Para los operadores, el respaldo del tesoro es la parte tranquilizadora. Los usuarios fueron compensados por completo y la plataforma volvió a funcionar a primera hora de la mañana siguiente.
Las cosas a observar ahora son bastante concretas. Primero, si el explotador acepta la recompensa y devuelve una parte significativa de los tokens. Segundo, si Arcus publica un informe técnico más completo que explique cómo pasó desapercibido el subdesbordamiento y qué controles se han añadido.
Tercero, si otros lugares en Robinhood Chain revisan sus propios límites de puente teniendo en cuenta cuánto se ahorró con este. Una respuesta de tres minutos de un límite automatizado, frente a una hora para la pausa manual, presenta un argumento bastante convincente a favor de la automatización.