Arcus, uma exchange descentralizada que roda na Robinhood Chain, pagou 2.234.391 USDG a um explorador após um bug permitir que uma conta recém-criada inflasse seu próprio saldo.
A empresa de segurança CertiK atribui o incidente a um underflow inteiro. Esse é o tipo de erro matemático em que um número cai abaixo de zero e "envolve" para um valor positivo enorme. Imagine um odómetro a retroceder para além de zero e parar em 999.999.
Os pagamentos ocorreram em nove transferências separadas do BridgeVault para uma carteira que o Arcus tornou pública desde então. O dano poderia ter sido maior. Um limite de taxa on-chain foi ativado cedo e bloqueou retiradas adicionais estimadas em US$ 3 milhões.
Como a exploração se desenrolou
O problema começou por volta das 22:07 ET de 9 de novembro de 2026. Uma conta recém-criada explorou falhas na forma como a Arcus lidava com transferências entre subcontas, o que permitiu aumentar seu saldo muito além do que havia depositado realmente.
O relatório de incidente da exchange carrega a data de 9 de novembro. A CertiK observa que a atividade relevante no livro-razão e as execuções na cadeia ocorreram em 10 de novembro UTC. A noite tardia na costa leste dos EUA já é o dia seguinte em UTC, portanto, ambas as datas descrevem a mesma noite.
O cronograma de resposta, de acordo com as descobertas da pesquisa aprofundada, era o seguinte:
- Cerca de 22:10 horário da costa leste: o limite de taxa da ponte on-chain foi ativado
- 22:15 ET: a monitorização interna detectou a atividade
- 23:07 ET: Arcus pausou saques em toda a plataforma
- Cerca de 30 minutos após a pausa: uma correção foi implantada
- 4:26 a.m. ET, 10 de novembro: saques retomados
Aproximadamente US$ 3 milhões em solicitações de retirada que haviam sido bloqueadas pelo limite de taxa foram revertidas assim que a correção foi implementada. O explorador levou os 2.234.391 USDG que já haviam sido processados, e nada mais.
Uma nuance importante a manter clara: a CertiK afirma explicitamente que o número de tokens não representa uma perda em dólares independentemente avaliada nem uma medida do lucro do atacante. O valor descreve quantos tokens USDG foram movidos. Não é uma contabilidade verificada do que alguém ganhou ou perdeu em termos de dólares.
Arcus cobre a lacuna e oferece uma recompensa
Arcus afirma que cobriu o déficit a partir do tesouro da empresa. De acordo com os resultados da pesquisa, os fundos de outros usuários não foram afetados negativamente, e as operações voltaram ao ar dentro de algumas horas.
A exchange também adotou o caminho da transparência. Ela publicou o endereço do explorador e está trabalhando com investigadores da blockchain para rastrear os fundos.
Há também um ângulo de negociação. Relata-se que a Arcus ofereceu ao explorador uma recompensa em troca da devolução de uma parte substancial dos tokens. Não se sabe se o explorador aceitou o acordo.
O incidente foi caracterizado como um erro contábil interno, não como uma falha na segurança do contrato inteligente.
Fundo: Arcus e Robinhood Chain
Arcus é uma exchange descentralizada alinhada à equipe do dYdX, um dos nomes mais estabelecidos no comércio de derivados on-chain. Ela opera na Robinhood Chain e liquida pagamentos em USDG por meio do seu BridgeVault.
Em 13 de novembro de 2026, não houve relatos de contágio de mercado mais amplo ligado à exploração. O dano parece estar contido na Arcus em si, e a empresa o absorveu.
O que isso significa
O detalhe mais instrutivo aqui é a lacuna no cronograma. O limite da ponte foi ativado por volta das 22:10 ET, três minutos após o exploit. A pausa em toda a plataforma só ocorreu às 23:07, quase uma hora após o monitoramento sinalizar o problema às 22:15.
Durante esse período, o interruptor automático realizou a maior parte do trabalho pesado. Sem ele, os aproximadamente US$ 3 milhões em solicitações bloqueadas provavelmente teriam se juntado aos 2.234.391 USDG já enviados.
A segunda lição trata de onde o risco realmente reside. As auditorias tendem a se concentrar em contratos inteligentes, e os contratos da Arcus supostamente não foram o ponto fraco. A falha estava na lógica contábil interna para transferências de subcontas, uma camada que é fácil de ignorar porque parece contabilidade e não segurança.
Underflows inteiros são uma classe bem compreendida de bugs. Sua aparição em um sistema de produção vinculado a uma equipe experiente é um lembrete de que modos de falha familiares continuam a surgir sempre que a aritmética toca saldos.
Para os traders, o suporte do tesouro é a parte tranquilizadora. Os usuários foram integralmente indenizados e a plataforma estava funcionando novamente no início da manhã seguinte.
As coisas para acompanhar agora são bastante concretas. Primeiro, se o explorador aceita a recompensa e devolve uma parte significativa dos tokens. Segundo, se a Arcus publica um relatório técnico mais completo explicando como o underflow escapou e quais verificações foram adicionadas.
Terceiro, se outros locais na Robinhood Chain revisarem seus próprios limites de ponte à luz de quanto este economizou. Uma resposta de três minutos de um limite automatizado, em comparação com uma hora para a pausa manual, faz um caso bastante persuasivo para a automação.