Arcus, sebuah bursa terdesentralisasi yang berjalan di atas Robinhood Chain, membayar 2,234,391 USDG kepada seorang pengeksploitasi selepas sebuah ralat membolehkan akaun yang baru diciptakan meningkatkan baki sendiri.
Syarikat keselamatan CertiK mengaitkan insiden itu kepada kegagalan bawah integer. Ia adalah sejenis ralat matematik di mana nombor turun di bawah sifar dan berputar balik menjadi nilai positif yang sangat besar. Bayangkan odometer berputar ke belakang melalui sifar dan berhenti pada 999,999.
Pembayaran berlaku melalui sembilan pindahan BridgeVault berasingan ke dompet yang telah diperkenalkan oleh Arcus. Kerosakan boleh menjadi lebih teruk. Sempadan kadar pada rantai telah berfungsi awal dan menghalang pengeluaran tambahan sebanyak $3 juta.
Bagaimana eksploitasi berlaku
Masalah bermula pada kira-kira 10:07 malam ET pada 9 November 2026. Sebuah akaun yang baru diciptakan menyalahgunakan kelemahan dalam cara Arcus mengendalikan pindahan antara subakaun, yang membolehkannya meningkatkan baki jauh melebihi jumlah yang sebenarnya disetor.
Laporan insiden bursa itu membawa tarikh 9 November. CertiK mencatat bahawa aktiviti buku besar yang berkaitan dan pelaksanaan di rantai berlaku pada 10 November UTC. Malam lewat di Pantai Timur AS sudah merupakan hari seterusnya dalam UTC, jadi kedua-dua tarikh tersebut menggambarkan malam yang sama.
Jadual respons, menurut dapatan penyelidikan mendalam, kelihatan seperti ini:
- Kira-kira 10:10 malam ET: hadang kadar jambatan atas rantai berlaku
- 10:15 petang ET: pemantauan dalaman menandakan aktiviti tersebut
- 11:07 petang ET: Arcus menghentikan penarikan di seluruh platform
- Sekitar 30 minit selepas jeda: pembaikan telah diterapkan
- 4:26 a.m. ET, 10 November: penarikan dilanjutkan
Sekitar $3 juta permintaan penarikan yang dihentikan oleh had kadar telah dibalikkan semasa pembaikan dilancarkan. Pelaku eksploitasi membawa pergi 2,234,391 USDG yang telah diluluskan, dan tidak lebih.
Satu nuansa yang perlu dijelaskan: CertiK secara eksplisit menyatakan bahawa bilangan token bukanlah kerugian dolar yang dinilai secara berasingan atau ukuran keuntungan penyerang. Angka ini menggambarkan berapa banyak token USDG yang berpindah. Ia bukanlah pengiraan yang disahkan mengenai apa yang diperoleh atau hilang oleh sesiapa pun dalam sebutan dolar.
Arcus menutup jurang dan menawarkan hadiah
Arcus mengatakan ia menutupi kekurangan tersebut dari perbendaharaan syarikatnya. Menurut dapatan penyelidikan, dana pengguna lain tidak terkesan negatif, dan operasi kembali aktif dalam beberapa jam.
Bursa juga memilih jalan transparansi. Ia menerbitkan alamat penyerang dan bekerja sama dengan penyelidik blok rantai untuk melacak dana tersebut.
Terdapat sudut perbincangan juga. Arcus dilaporkan menawarkan ganjaran kepada pelanggar sebagai pertukaran untuk mengembalikan sebahagian besar token. Adakah pelanggar telah menerima tawaran itu masih tidak diketahui.
Insiden ini telah dikenal pasti sebagai kesilapan perakaunan dalaman, bukan kelemahan dalam keselamatan kontrak pintar.
Latar belakang: Arcus dan Robinhood Chain
Arcus ialah bursa terdesentralisasi yang sejajar dengan pasukan dYdX, salah satu nama yang paling lama beroperasi dalam perniagaan derivatif atas rantai. Ia beroperasi di Robinhood Chain dan menyelesaikan pembayaran dalam USDG melalui BridgeVault-nya.
Pada 13 November 2026, tiada laporan mengenai penyebaran pasaran yang lebih luas yang berkaitan dengan eksploitasi tersebut. Kerosakan kelihatan terhad kepada Arcus sahaja, dan syarikat tersebut menyerapnya.
Apakah maksud ini
Butiran paling bermanfaat di sini ialah jurang jadual. Had kadar jambatan diaktifkan sekitar pukul 10:10 malam ET, tiga minit selepas serangan. Penangguhan menyeluruh platform tidak berlaku sehingga pukul 11:07 malam, hampir satu jam selepas pemantauan menandakan masalah pada pukul 10:15.
Semasa jendela itu, brek automatik melakukan sebahagian besar kerja berat. Tanpanya, kira-kira $3 juta dalam permintaan yang diblokir kemungkinan besar akan menyertai 2,234,391 USDG yang sudah keluar.
Pelajaran kedua berkaitan dengan di mana risiko sebenarnya berada. Audit cenderung memfokuskan pada kontrak pintar, dan kontrak Arcus dikatakan bukan titik lemahnya. Kegagalan berada dalam logik perakaunan dalaman untuk pindah subakaun, satu lapisan yang mudah dilupakan kerana ia kelihatan seperti pembukuan daripada keselamatan.
Underflow integer adalah kelas ralat yang sudah dimengerti dengan baik. Kehadirannya dalam sistem pengeluaran yang berkaitan dengan pasukan berpengalaman adalah pengingat bahawa mod kegagalan yang biasa terus muncul semula di mana-mana aritmetik menyentuh baki.
Bagi pedagang, sokongan perbendaharaan adalah bahagian yang menenangkan. Pengguna telah dipulihkan sepenuhnya dan platform berfungsi semula pada awal pagi berikutnya.
Perkara yang perlu diperhatikan sekarang adalah cukup konkrit. Pertama, sama ada pengeksploit menerima ganjaran dan mengembalikan bahagian yang bermakna terhadap token. Kedua, sama ada Arcus menerbitkan laporan teknikal yang lebih lengkap yang menjelaskan bagaimana underflow terlepas dan apa semakan yang telah ditambahkan.
Ketiga, sama ada tempat lain di Robinhood Chain akan meninjau had jambatan mereka sendiri berdasarkan berapa banyak yang telah dijimatkan oleh yang ini. Respons selama tiga minit daripada had automatik, berbanding satu jam untuk jeda manual, membuat kes yang agak meyakinkan untuk automasi.