Arcus, sebuah bursa terdesentralisasi yang berjalan di Robinhood Chain, membayarkan 2.234.391 USDG kepada pelaku eksploitasi setelah sebuah bug memungkinkan akun yang baru dibuat menaikkan saldo sendiri.
Perusahaan keamanan CertiK mengaitkan insiden ini dengan integer underflow. Itu adalah jenis kesalahan matematis di mana angka turun di bawah nol dan melingkar kembali menjadi nilai positif yang sangat besar. Bayangkan odometer yang berputar mundur melewati nol dan berhenti di 999.999.
Pembayaran terjadi melalui sembilan transfer BridgeVault terpisah ke dompet yang sejak itu diumumkan oleh Arcus. Kerusakan bisa saja lebih parah. Batas laju on-chain aktif lebih awal dan memblokir penarikan tambahan sekitar $3 juta.
Bagaimana eksploitasi terjadi
Masalah dimulai sekitar pukul 10:07 malam ET pada 9 November 2026. Akun yang baru dibuat menyalahgunakan kelemahan dalam cara Arcus menangani transfer antar subakun, yang memungkinkannya meningkatkan saldo jauh melebihi jumlah yang sebenarnya telah disetorkan.
Laporan insiden bursa sendiri mencantumkan tanggal 9 November. CertiK mencatat bahwa aktivitas buku besar yang relevan dan eksekusi on-chain terjadi pada 10 November UTC. Malam hari di Pantai Timur AS sudah merupakan hari berikutnya dalam UTC, sehingga kedua tanggal tersebut menggambarkan malam yang sama.
Garis waktu respons, menurut temuan penelitian mendalam, terlihat seperti ini:
- Sekitar pukul 22:10 ET: batas laju jembatan on-chain aktif
- 10:15 malam ET: pemantauan internal mendeteksi aktivitas tersebut
- 11:07 malam ET: Arcus menghentikan penarikan di seluruh platform
- Sekitar 30 menit setelah jeda: perbaikan telah diterapkan
- 04:26 pagi ET, 10 November: penarikan dilanjutkan
Sekitar $3 juta permintaan penarikan yang tertahan oleh batas laju dibatalkan setelah perbaikan diluncurkan. Pelaku eksploitasi membawa kabur 2.234.391 USDG yang sudah berhasil diproses, dan tidak lebih dari itu.
Satu nuansa yang perlu diperjelas: CertiK secara eksplisit menyatakan bahwa jumlah token bukan merupakan kerugian dolar yang bernilai independen atau ukuran keuntungan penyerang. Angka tersebut menggambarkan berapa banyak token USDG yang berpindah. Ini bukan pencatatan terverifikasi tentang apa pun yang diperoleh atau hilang dalam istilah dolar.
Arcus menutup kesenjangan dan mengumumkan hadiah
Arcus mengatakan bahwa kekurangan tersebut ditutupi dari kas perusahaan. Menurut temuan penelitian, dana pengguna lain tidak terdampak negatif, dan operasi kembali aktif dalam hitungan jam.
Bursa juga memilih jalur transparansi. Itu mempublikasikan alamat pelaku eksploitasi dan bekerja sama dengan penyelidik blockchain untuk melacak dana tersebut.
Ada juga sudut negosiasi. Arcus dilaporkan menawarkan bounty kepada pelaku eksploitasi sebagai imbalan atas pengembalian sebagian besar token. Apakah pelaku eksploitasi menerima penawaran tersebut masih belum diketahui.
Insiden tersebut dikarakterisasi sebagai kesalahan akuntansi internal, bukan kelemahan pada keamanan smart-contract.
Latar belakang: Arcus dan Robinhood Chain
Arcus adalah bursa terdesentralisasi yang selaras dengan tim dYdX, salah satu nama yang telah lama berkecimpung dalam perdagangan derivatif on-chain. Arcus beroperasi di Robinhood Chain dan menyelesaikan pembayaran dalam USDG melalui BridgeVault-nya.
Pada 13 November 2026, tidak ada laporan tentang kontagion pasar yang lebih luas terkait eksploitasi tersebut. Kerusakan tampak terbatas pada Arcus sendiri, dan perusahaan menyerapnya.
Apa artinya ini
Detail paling informatif di sini adalah jeda waktu. Batas laju jembatan aktif sekitar pukul 22:10 ET, tiga menit setelah eksploitasi dimulai. Jeda secara keseluruhan platform baru terjadi pada pukul 23:07, hampir satu jam setelah pemantauan mendeteksi masalah pada pukul 22:15.
Selama jendela itu, sistem pemutus otomatis melakukan sebagian besar pekerjaan berat. Tanpa itu, sekitar $3 juta dalam permintaan yang diblokir kemungkinan besar akan bergabung dengan 2.234.391 USDG yang sudah keluar.
Pelajaran kedua berkaitan dengan di mana sebenarnya risiko berada. Audit cenderung berfokus pada kontrak pintar, dan kontrak Arcus dikabarkan bukan titik lemahnya. Kegagalan terletak pada logika akuntansi internal untuk transfer subakun, lapisan yang mudah diabaikan karena terasa seperti pembukuan daripada keamanan.
Underflow integer adalah kelas bug yang sudah dipahami dengan baik. Kemunculannya dalam sistem produksi yang terkait dengan tim berpengalaman adalah pengingat bahwa pola kegagalan yang familiar terus muncul kembali di mana pun aritmetika menyentuh saldo.
Bagi para pedagang, dukungan kas adalah bagian yang menenangkan. Pengguna telah dibayar penuh dan platform kembali berjalan pada awal pagi berikutnya.
Hal-hal yang perlu diawasi sekarang cukup konkret. Pertama, apakah pelaku eksploitasi menerima bounty dan mengembalikan sebagian token yang bermakna. Kedua, apakah Arcus menerbitkan laporan teknis yang lebih lengkap yang menjelaskan bagaimana underflow lolos dan apa pengecekan yang telah ditambahkan.
Ketiga, apakah lokasi lain di Robinhood Chain akan meninjau batas jembatan mereka sendiri mengingat seberapa besar ini menghemat waktu. Respons tiga menit dari batas otomatis, dibandingkan satu jam untuk jeda manual, membuat argumen yang cukup meyakinkan untuk otomatisasi.