Arcus, une plateforme d'échange décentralisée fonctionnant sur Robinhood Chain, a versé 2 234 391 USDG à un exploitant après qu'une faille a permis à un compte récemment créé d'augmenter artificiellement son solde.
L'entreprise de sécurité CertiK attribue cet incident à un débordement entier. Il s'agit d'une erreur mathématique où un nombre descend en dessous de zéro et boucle pour devenir une valeur positive énorme. Imaginez un compteur kilométrique qui recule au-delà de zéro et s'arrête à 999 999.
Les paiements ont eu lieu à travers neuf transferts séparés vers un wallet qu'Arcus a depuis rendu public. Les dégâts auraient pu être plus importants. Une limite de taux sur chaîne s'est activée tôt et a bloqué environ 3 millions de dollars supplémentaires de retraits.
Comment l'exploitation s'est déroulée
Le problème a commencé vers 22h07 HE le 9 novembre 2026. Un compte nouvellement créé a exploité des failles dans la manière dont Arcus gère les transferts entre sous-comptes, ce qui lui a permis d'augmenter considérablement son solde bien au-delà de ce qu'il avait réellement déposé.
Le rapport d'incident de la plateforme d'échange porte la date du 9 novembre. CertiK note que les activités pertinentes du registre et les exécutions sur chaîne ont eu lieu le 10 novembre UTC. La fin de soirée sur la côte est des États-Unis est déjà le jour suivant en UTC, donc les deux dates décrivent la même nuit.
Le calendrier de la réponse, selon les résultats de la recherche approfondie, ressemblait à ceci :
- Vers 22h10 HE : la limite de taux du pont sur chaîne a été activée
- 22h15 HE : la surveillance interne a signalé l'activité
- 23h07 HE : Arcus a suspendu les retraits sur l'ensemble de la plateforme
- Environ 30 minutes après la pause : une correction a été déployée
- 4:26 a.m. ET, 10 novembre : les retraits ont été rétablis
Environ 3 millions de dollars de demandes de retrait bloquées par la limite de taux ont été annulées une fois la correction mise en ligne. L'exploiteur a emporté les 2 234 391 USDG déjà validés, et rien de plus.
Une nuance à bien garder à l’esprit : CertiK précise explicitement que le nombre de jetons n’est pas une perte en dollars indépendante ni une mesure du profit de l’attaquant. Ce chiffre indique simplement combien de jetons USDG ont été déplacés. Il ne constitue pas un compte rendu vérifié des gains ou pertes de quiconque en dollars.
Arcus comble l'écart et lance une récompense
Arcus affirme avoir couvert le déficit à partir de sa trésorerie d'entreprise. Selon les résultats de la recherche, aucun autre fonds d'utilisateur n'a été affecté négativement, et les opérations ont été rétablies en quelques heures.
La plateforme d'échange a également opté pour la transparence. Elle a publié l'adresse de l'exploiteur et collabore avec des enquêteurs de blockchain pour suivre les fonds.
Il y a aussi un volet de négociation. Arcus aurait proposé à l'exploiteur une récompense en échange du retour d'une partie substantielle des jetons. Il reste inconnu si l'exploiteur a accepté l'offre.
L'incident a été qualifié d'erreur comptable interne, et non d'une faille de sécurité du contrat intelligent.
Contexte : Arcus et Robinhood Chain
Arcus est une plateforme d'échange décentralisée en lien avec l'équipe dYdX, l'un des noms les plus établis dans le trading de dérivés sur chaîne. Elle fonctionne sur Robinhood Chain et règle les paiements en USDG via son BridgeVault.
Au 13 novembre 2026, aucun rapport n'a été signalé concernant une contagion plus large du marché liée à l'exploitation. Les dommages semblent limités à Arcus lui-même, et l'entreprise les a absorbés.
Ce que cela signifie
Le détail le plus instructif ici est l'écart temporel. La limite de taux du pont a été activée vers 22h10 HE, trois minutes après le début de l'exploitation. La suspension globale de la plateforme n'est intervenue qu'à 23h07, près d'une heure après que la surveillance ait détecté le problème à 22h15.
Pendant cette fenêtre, le disjoncteur automatisé a effectué la majeure partie du travail. Sans lui, les environ 3 millions de dollars de demandes bloquées auraient probablement rejoint les 2 234 391 USDG déjà sortis.
La deuxième leçon concerne l’endroit où réside réellement le risque. Les audits se concentrent généralement sur les contrats intelligents, et les contrats d’Arcus n’auraient pas été le point faible. L’échec se trouvait dans la logique comptable interne des transferts de sous-comptes, une couche facile à négliger car elle semble relever de la tenue comptable plutôt que de la sécurité.
Les débordements entiers sont une classe bien connue de bogues. Leur apparition dans un système de production lié à une équipe expérimentée rappelle que les modes d'échec familiers continuent de réapparaître partout où l'arithmétique touche aux soldes.
Pour les traders, le soutien de la trésorerie est la partie rassurante. Les utilisateurs ont été entièrement remboursés et la plateforme fonctionnait à nouveau tôt le lendemain matin.
Les éléments à surveiller maintenant sont assez concrets. Premièrement, si l'exploiteur accepte la récompense et restitue une part significative des jetons. Deuxièmement, si Arcus publie un post-mortem technique plus complet expliquant comment le débordement négatif a échappé aux contrôles et quelles vérifications ont été ajoutées.
Troisièmement, les autres plateformes sur Robinhood Chain examineront-elles leurs propres limites de pont à la lumière des économies réalisées ici. Une réponse de trois minutes provenant d'une limite automatisée, contre une heure pour la pause manuelle, constitue un argument assez convaincant en faveur de l'automatisation.