Ang Arcus, isang decentralized exchange na nagpapatakbo sa Robinhood Chain, ay nagbigay ng 2,234,391 USDG sa isang exploiter pagkatapos ng isang bug na nagbigay-daan sa isang bagong nilikhang account na palakasin ang sarili nitong balance.
Ang security firm na CertiK ay nagtataglay na ang insidente ay dulot ng integer underflow. Ito ay uri ng math error kung saan bumaba ang isang numero sa ibaba ng zero at umikot pabalik sa isang napakalaking positibong halaga. Isipin ang isang odometer na umikot pabalik sa ibaba ng zero at tumigil sa 999,999.
Naganap ang mga pagbabayad sa loob ng siyam na hiwalay na pag-transfer sa BridgeVault patungo sa isang wallet na ipinakita na ni Arcus. Mas malaki ang posibleng pinsala. Nagsimula ang isang rate limit sa chain at pinigilan ang isang inaasahang $3 milyon karagdagang pagtarik.
Paano nag-unfold ang exploit
Nagsimula ang problema sa halos 10:07 p.m. ET noong Nobyembre 9, 2026. Isang bagong nilikhang account ay nag-abuso ng mga kamalian sa paraan kung paano nila inaangkop ang mga pag-transfer sa pagitan ng mga subaccount, na nagbigay-daan sa pagpapataas ng balanse nito nang malampasan ang tunay na idinagdag nito.
Ang sariling ulat ng insidente ng exchange ay naglalaman ng petsa ng Nobyembre 9. Tinitiyak ng CertiK na ang kaugnay na aktibidad ng ledger at mga on-chain na pagpapatupad ay nangyari noong Nobyembre 10 UTC. Ang hatinggabi sa US East Coast ay nangangahulugan na ang susunod na araw na UTC, kaya ang parehong petsa ay naglalarawan sa parehong gabi.
Ang timeline ng tugon, ayon sa mga natuklasan ng malalim na pag-aaral, tila ito:
- Sa halos 10:10 p.m. ET: nagsimula ang rate limit ng on-chain bridge
- 10:15 p.m. ET: inilabas ng panloob na pagmamasid ang aktibidad
- 11:07 p.m. ET: Ipinagpahinga ni Arcus ang mga pagtarik sa buong platform
- Halos 30 minuto pagkatapos ng pagpapahinga: isang pagpapabuti ay nailalabas
- 4:26 a.m. ET, Nobyembre 10: nagpatuloy ang mga pagtarik
Binawi ang mga hiling sa pag-withdraw na halos $3 milyon na hinatid ng rate limit ayon nang ma-activate ang pagkakabawas. Ang nag-exploit ay umalis na may 2,234,391 USDG na nakapag-clear na, at wala nang higit pa.
Isang nuwans na dapat ipanatili: Sinasabi nang malinaw ng CertiK na ang bilang ng token ay hindi isang independiyenteng halagang dolyar na pagkawala o sukat ng kita ng attacker. Ang numero ay naglalarawan kung ilan ang USDG tokens na nailipat. Ito ay hindi isang napatunayang pagsasaulo kung ano ang kinuha o nalugi ng sinuman sa terms ng dolyar.
Ang Arcus ay nakakapag-iskedyul ng pagkawala at nagpapalabas ng bounty
Sinabi ni Arcus na sinakop niya ang kakulangan mula sa kanyang kumpanyang kahon. Ayon sa mga natuklasan ng pananaliksik, hindi naapektuhan ang ibang pera ng mga user, at bumalik ang operasyon sa loob ng ilang oras.
Ang exchange ay sumunod din sa daan ng transparensya. Ipinahayag nito ang address ng tagapagpapalabas at nagtatrabaho kasama ang mga tagapag-imbestiga ng blockchain upang masubaybayan ang mga pondo.
Mayroon din na negosyasyon. Ayon sa mga ulat, binigyan ng bounty ni Arcus ang tagapagpapakita bilang kapalit ng pagbabalik ng isang malaking bahagi ng mga token. Hindi pa alam kung kinuha ng tagapagpapakita ang deal.
Ipinakita ng insidente na isang panloob na pagkakamali sa pagsasapalaran, hindi isang kahinaan sa seguridad ng smart-contract.
Likod: Arcus at Robinhood Chain
Ang Arcus ay isang decentralized exchange na nakatuon sa dYdX team, isa sa mga pinakamatagal nagnanais sa on-chain derivatives trading. Ito ay gumagana sa Robinhood Chain at nagtatapos ng mga pagbabayad sa USDG sa pamamagitan ng kanyang BridgeVault.
Tungkol sa Nobyembre 13, 2026, walang mga ulat tungkol sa mas malawak na kontaminasyon ng merkado na kaugnay ng exploit. Ang pinsala ay tila nakapag-iiwan sa Arcus mismo, at itinanggap ng kumpanya ito.
Ano ang ibig sabihin nito
Ang pinakamalawak na detalye dito ay ang pagkakaiba sa timeline. Ang limitasyon ng bridge ay nagsimula sa paligid ng 10:10 p.m. ET, tatlong minuto pagsapit ng pag-atake. Ang pagsasara sa buong platform ay hindi nangyari hanggang sa 11:07 p.m., halos isang oras pagkatapos ng pagmamasid na nag-flag ng problema sa 10:15.
Sa panahong iyon, ang automated na circuit breaker ang nagsagawa ng karamihan sa mga mahihirap na gawain. Nang walang ito, ang halos $3 milyon sa mga nakablock na kahilingan ay maaaring sumama sa 2,234,391 USDG na nasa labas na.
Ang ikalawang aralin ay tungkol sa kung saan talaga nakatira ang panganib. Ang mga audit ay karaniwang nakatuon sa mga smart contract, at ang mga contract ni Arcus ay hindi naman ang mahina. Ang pagkabigo ay nasa loob na lohika ng accounting para sa pag-transfer ng subaccount, isang layer na madaling makalimutan dahil parang bookkeeping lamang ito at hindi seguridad.
Ang integer underflows ay isang well-understood na klase ng bug. Ang kanilang pagkakaroon sa isang production system na may kaugnayan sa isang karanasan na team ay isang paalala na ang pamilyar na anyo ng pagkabigo ay patuloy na lumalabas kahit saan man ang arithmetic ay tumutok sa mga balanse.
Para sa mga trader, ang treasury backstop ay ang nakakapagpapakalma. Nabalik ang mga user at muli nang gumagana ang platform sa maagang umaga ng susunod na araw.
Ang mga bagay na dapat obserbahan ngayon ay medyo konkretong. Una, kung tatanggapin ng tagapagpabaya ang bounty at ibabalik ang isang makabuluhang bahagi ng mga token. Ikalawa, kung papubliko ng Arcus ang mas detalyadong teknikal na postmortem na nagpapaliwanag kung paano naglubos ang underflow at anong mga pagsusuri ang idinagdag.
Ikatlo, kung susuriin din ng iba pang mga lugar sa Robinhood Chain ang kanilang sariling limitasyon sa bridge batay sa dami ng time na naligtas nito. Isang tatlong-minutong tugon mula sa automated na limitasyon, kumpara sa isang oras para sa manual na pagpause, ay gumagawa ng isang lubos na paniniwala sa automation.