आर्कस, जो रॉबिनहुड चेन पर चलने वाला एक डिसेंट्रलाइज्ड एक्सचेंज है, एक बग के कारण एक हाल ही में बनाए गए खाते ने अपना बैलेंस बढ़ा दिया, जिसके बाद उसने 2,234,391 USDG एक दुरुपयोगकर्ता को भुगतान किया।
सुरक्षा कंपनी CertiK ने इस घटना को पूर्णांक अधिकल्प के कारण ठहराया है। यह एक ऐसी गणितीय त्रुटि है जहां एक संख्या शून्य से नीचे गिर जाती है और एक विशाल धनात्मक मान में लपेट जाती है। एक ओडोमीटर को शून्य से पिछली ओर घूमते हुए 999,999 पर पहुंचते हुए कल्पना करें।
भुगतान आर्कस द्वारा अब जारी किए गए एक वॉलेट में नौ अलग-अलग BridgeVault ट्रांसफ़र के माध्यम से हुए। क्षति और भी बड़ी हो सकती थी। एक ऑन-चेन दर सीमा ने शुरुआत में अनुमानित 3 मिलियन डॉलर के अतिरिक्त निकासी को रोक दिया।
कैसे दुरुपयोग हुआ
समस्या 9 नवंबर, 2026 को लगभग 10:07 बजे ET पर शुरू हुई। एक नवनिर्मित खाते ने आर्कस द्वारा सबखातों के बीच ट्रांसफ़र को संभालने के तरीके में छेद का दुरुपयोग किया, जिससे इसकी बैलेंस उसके वास्तविक जमा राशि से काफी अधिक बढ़ गई।
एक्सचेंज की अपनी घटना रिपोर्ट में 9 नवंबर की तारीख दर्ज है। CertiK ने नोट किया कि संबंधित लेजर गतिविधि और ऑन-चेन निष्पादन 10 नवंबर UTC पर हुए। यूएस पूर्वी तट पर रात के देर समय में UTC में पहले ही अगला दिन हो चुका होता है, इसलिए दोनों तारीखें एक ही रात का वर्णन करती हैं।
गहन शोध की खोज के अनुसार, प्रतिक्रिया का समयसूची इस प्रकार थी:
- लगभग 10:10 पी.एम. ई.टी.: ऑन-चेन ब्रिज रेट लिमिट सक्रिय हो गया
- 10:15 p.m. ET: आंतरिक निगरानी ने गतिविधि को चिह्नित किया
- 11:07 p.m. ET: आर्कस ने पूरे प्लेटफॉर्म पर निकासी रोक दी
- पॉज के लगभग 30 मिनट बाद: एक फिक्स डिप्लॉय किया गया
- 4:26 a.m. ET, 10 नवंबर: निकासी पुनः शुरू
लगभग $3 मिलियन के निकासी अनुरोध, जिन्हें दर सीमा ने रोक दिया था, उन्हें सुधार लागू होने के बाद वापस कर दिया गया। दुरुपयोगकर्ता ने 2,234,391 USDG ले लिए, जो पहले ही स्पष्ट हो चुके थे, और कुछ और नहीं।
एक बात ध्यान में रखने योग्य है: CertiK स्पष्ट रूप से कहता है कि टोकन की संख्या एक स्वतंत्र रूप से मूल्यांकित डॉलर की हानि या हमलावर के लाभ का माप नहीं है। यह आंकड़ा कितने USDG टोकन स्थानांतरित हुए, इसका वर्णन करता है। यह किसी भी व्यक्ति द्वारा डॉलर के मापदंड में कितना लाभ या हानि प्राप्त की, इसका सत्यापित लेखा नहीं है।
आर्कस अंतर को पूरा करता है और बोन्टी जारी करता है
आर्कस का कहना है कि उसने अपनी कंपनी के खजाने से अल्पता को पूरा किया। शोध के परिणामों के अनुसार, किसी अन्य उपयोगकर्ता के धन को प्रभावित नहीं किया गया, और संचालन कुछ ही घंटों में ऑनलाइन हो गए।
एक्सचेंज ने पारदर्शिता का रास्ता अपनाया। इसने दुरुपयोगकर्ता का पता प्रकाशित किया है और धन का पता लगाने के लिए ब्लॉकचेन जांचकर्ताओं के साथ काम कर रहा है।
एक बातचीत का पहलू भी है। रिपोर्ट्स के अनुसार, आर्कस ने टोकन के एक बड़े हिस्से को वापस करने के बदले दुरुपयोगकर्ता को बंटी प्रदान करने का प्रस्ताव रखा था। यह अज्ञात है कि क्या दुरुपयोगकर्ता ने इस समझौते को स्वीकार किया है।
इस घटना को स्मार्ट-कॉन्ट्रैक सुरक्षा में कमी के बजाय आंतरिक लेखांकन त्रुटि के रूप में वर्णित किया गया है।
पृष्ठभूमि: आर्कस और रॉबिनहुड चेन
Arcus, एक डिसेंट्रलाइज्ड एक्सचेंज है, जो dYdX टीम के साथ समन्वयित है, जो ऑन-चेन डेरिवेटिव्स ट्रेडिंग में सबसे लंबे समय से काम कर रहे नामों में से एक है। यह Robinhood Chain पर संचालित होता है और अपने BridgeVault के माध्यम से USDG में भुगतान का निपटान करता है।
13 नवंबर, 2026 तक, दुरुपयोग से जुड़ी व्यापक बाजार संक्रमण की कोई रिपोर्ट नहीं थी। क्षति लगती है कि केवल आर्कस तक सीमित थी, और कंपनी ने इसे स्वीकार कर लिया।
इसका क्या अर्थ है
यहाँ सबसे अधिक शिक्षाप्रद विवरण समय सीमा का अंतर है। ब्रिज रेट लिमिट लगभग 10:10 पी.एम. ई.टी. पर सक्रिय हो गई, जो दुरुपयोग के तीन मिनट बाद था। प्लेटफॉर्म-व्यापी पॉज़ तब तक नहीं आया जब तक कि 11:07 पी.एम. पर, जो 10:15 पर मॉनिटरिंग द्वारा समस्या के चिह्नित होने के लगभग एक घंटे बाद था।
उस अवधि के दौरान, स्वचालित सर्किट ब्रेकर ने अधिकांश भारी कार्य किया। इसके बिना, लगभग 3 मिलियन डॉलर के अवरुद्ध अनुरोध संभवतः 2,234,391 USDG के साथ ही बाहर चले जाते।
दूसरा पाठ इस बात पर केंद्रित है कि जोखिम वास्तव में कहाँ मौजूद है। ऑडिट अक्सर स्मार्ट कॉन्ट्रैक्ट पर केंद्रित होते हैं, और रिपोर्ट के अनुसार आर्कस के कॉन्ट्रैक्ट कमजोर बिंदु नहीं थे। विफलता सबअकाउंट ट्रांसफ़र के लिए आंतरिक लेखा तर्क में थी, एक ऐसी परत जिसे नजरअंदाज करना आसान है क्योंकि यह बुककीपिंग की तरह महसूस होती है, सुरक्षा की तरह नहीं।
पूर्णांक अंडरफ्लो एक अच्छी तरह से समझी गई बग की श्रेणी हैं। एक उत्पादन प्रणाली में उनका दिखाई देना, जो एक अनुभवी टीम से जुड़ी है, यह याद दिलाता है कि परिचित विफलता के प्रारूप तब तक पुनः प्रकट होते रहते हैं जब तक अंकगणित बैलेंस से जुड़ा होता है।
व्यापारियों के लिए, खजाने का समर्थन आश्वासन देने वाला हिस्सा है। उपयोगकर्ताओं को पूरी तरह से वापस कर दिया गया और प्लेटफॉर्म अगली सुबह शुरू हो चुका था।
अब जिन बातों का ध्यान रखना है, वे काफी स्पष्ट हैं। पहला, क्या दुरुपयोगकर्ता बोनटी स्वीकार करता है और टोकन का एक महत्वपूर्ण हिस्सा वापस करता है। दूसरा, क्या आर्कस एक अधिक विस्तृत तकनीकी पोस्टमॉर्टम प्रकाशित करता है जिसमें समझाया गया हो कि अंडरफ्लो कैसे छूट गया और कौन सी जांचें जोड़ी गई हैं।
तीसरा, रोबिनहूड चेन पर अन्य मंच अपनी स्वयं की ब्रिज रेट सीमाओं की समीक्षा करेंगे या नहीं, इस बात को ध्यान में रखते हुए कि इसने कितना बचाया। एक स्वचालित सीमा से तीन मिनट की प्रतिक्रिया, एक मैनुअल पॉज़ के लिए एक घंटे के विपरीत, स्वचालन के लिए काफी प्रभावशाली तर्क प्रस्तुत करती है।