Arcusは、Robinhood Chain上で動作する分散型取引所であり、バグにより新たに作成された口座が自身の残高を不正に増加させた結果、2,234,391 USDGを悪用者に支払った。
セキュリティ企業のCertiKは、この出来事の原因を整数のアンダーフローと特定しています。これは、数値がゼロ以下に下がり、巨大な正の値にラップアラウンドする数学的エラーです。オドメーターがゼロを越えて逆回転し、999,999になるようなイメージです。
支払いは、Arcusがその後公開したウォレットへの9件の別々のBridgeVault振替で発生しました。被害はさらに大きくなるところでした。オンチェーンのレート制限が早期に機能し、推定300万ドル分の追加引き出しをブロックしました。
攻撃の経過
2026年11月9日、米国東部標準時で約22:07に問題が発生しました。新しく作成された口座が、Arcusがサブアカウント間の振替を処理する際の欠陥を悪用し、実際に預けた金額をはるかに上回る残高を不正に増加させました。
取引所の自社インシデントレポートには11月9日の日付が記載されています。CertiKは、関連する台帳の活動およびオンチェーン実行がUTCで11月10日に発生したと指摘しています。米国東海岸の深夜はUTCではすでに翌日であるため、両方の日付は同じ夜を表しています。
深い調査結果によると、レスポンスタイムラインは以下の通りでした：
- 米国東部時間で午後10時10分頃：オンチェーンブリッジのレート制限が発動しました
- 米国東部時間午後10時15分：内部モニタリングがこの活動を検出しました
- 米国東部時間23:07：Arcusがプラットフォーム全体の出金を一時停止しました
- 一時停止から約30分後：修正が展開されました
- 11月10日 午前4時26分（ET）、出金が再開しました
修正が適用された後、レート制限により保留されていた約300万ドルの出金リクエストが取り消されました。悪用者は、すでに処理済みの2,234,391 USDGを手にし、それ以上のものは得られませんでした。
注意すべき点の一つ：CertiKは、トークン数が独立したドル損失や攻撃者の利益の指標ではないと明確に述べています。この数値は、どれだけのUSDGトークンが移動したかを示すものであり、誰かがドル単位でどれだけ得をしたか、あるいは損をしたかを検証された会計情報ではありません。
Arcusがギャップを埋め、ボーナスを掲示します
Arcusは、不足分を自社の財務から補填したと述べています。調査結果によると、他のユーザーの資金には悪影響がなく、運用は数時間以内に再開されました。
取引所は透明性の道を選び、攻撃者のアドレスを公開し、資金の追跡のためにブロックチェーン調査機関と協力しています。
交渉の側面もあります。Arcusは、多数のトークンを返却する見返りに、エクスプロイターにボーナスを提示したと報告されています。エクスプロイターがこの取引を受け入れたかどうかは不明です。
この出来事は、スマートコントラクトのセキュリティ上の欠陥ではなく、内部会計ミスとされています。
背景：ArcusとRobinhood Chain
Arcusは、オンチェーンデリバティブ取引で長く知られるdYdXチームと連携する分散型取引所です。Robinhood Chain上で動作し、BridgeVaultを通じてUSDGで決済を行います。
2026年11月13日現在、この攻撃に関連する広範な市場への伝染の報告はありません。損失はArcus自体に限定されており、同社がその損失を吸収しました。
これは何を意味するのか
ここで最も示唆的な詳細はタイムラインのギャップである。ブリッジのレート制限は、攻撃開始から3分後の米国東部標準時22時10分頃に発動した。一方、プラットフォーム全体の停止は、監視システムが22時15分に問題を検知してからほぼ1時間後の23時7分に実施された。
その期間中、自動的なサーキットブレーカーが主に重要な役割を果たしました。この仕組みがなければ、約300万ドルのブロックされたリクエストは、すでに外に出た2,234,391 USDGに加わっていた可能性があります。
二番目のレッスンは、リスクが実際にどこに存在するかについてです。監査は通常、スマートコントラクトに集中しますが、Arcusの契約は脆弱点ではなかったと報告されています。失敗はサブアカウントの振替に関する内部会計ロジックにありました。これは会計処理のように感じられるため、セキュリティとは見なされず、見落とされやすい層です。
整数のアンダーフローは、よく知られた種類のバグです。経験豊富なチームが関与する本番システムでそのバグが発生したことは、算術処理が残高に触れる場所では、馴染みのある失敗モードが繰り返し現れることを思い出させます。
トレーダーにとって、財務支援は安心できる部分です。ユーザーの資産は補填され、翌朝にはプラットフォームが再稼働しました。
今注目すべき点は比較的明確です。第一に、不正利用者が報奨金を受け入れ、トークンの意味のある一部を返却するかどうかです。第二に、Arcusがアンダーフローがどのように見過ごされたのか、そしてどのようなチェックが追加されたのかを説明するより詳細な技術的ポストモーテムを公開するかどうかです。
第三に、Robinhood Chain上の他のプラットフォームが、この一例でどれほど節約できたかを踏まえて、自らのブリッジ制限を再検討するかどうかです。自動制限による3分の対応と、手動での一時停止に要する1時間との比較は、自動化の有効性を十分に物語っています。