Arcus, децентрализованная биржа, работающая на Robinhood Chain, выплатила эксплуататору 2 234 391 USDG после того, как ошибка позволила недавно созданному аккаунту увеличить свой баланс.
Компания по безопасности CertiK связывает инцидент с переполнением целочисленного значения. Это ошибка в вычислениях, при которой число опускается ниже нуля и «переворачивается» в огромное положительное значение. Представьте себе одометр, который откатывается назад через ноль и останавливается на 999 999.
Выплаты были произведены через девять отдельных переводов BridgeVault на кошелек, который Arcus уже опубликовал. Ущерб мог быть больше. Рано сработал лимит скорости на цепочке и заблокировал дополнительные выводы на сумму около $3 млн.
Как разворачивался эксплойт
Проблемы начались примерно в 22:07 по восточному времени 9 ноября 2026 года. Недавно созданный аккаунт воспользовался уязвимостями в обработке переводов между субаккаунтами Arcus, что позволило ему искусственно увеличить свой баланс далеко за пределы фактически внесённых средств.
Собственный отчет о инциденте биржи содержит дату 9 ноября. CertiK отмечает, что соответствующая активность в реестре и выполнение операций в цепочке произошли 10 ноября по UTC. Поздний вечер на восточном побережье США уже является следующим днем по UTC, поэтому обе даты описывают одну и ту же ночь.
Сроки ответа, согласно результатам глубокого исследования, выглядели следующим образом:
- Около 22:10 по восточному времени: сработал лимит скорости на цепочечном мосту
- 22:15 по восточному времени: внутренний мониторинг зафиксировал активность
- 23:07 по восточному времени: Arcus приостановил выводы на всей платформе
- Примерно через 30 минут после паузы: был применён исправление
- 4:26 утра по восточному времени, 10 ноября: выводы возобновлены
Примерно $3 миллиона запросов на вывод, которые были задержаны из-за ограничения скорости, были отменены после запуска исправления. Злоумышленник ушел с 2 234 391 USDG, которые уже были обработаны, и больше ничего.
Одна деталь, которую стоит учитывать: CertiK прямо указывает, что количество токенов не является независимо оцененной долларовой потерей или показателем прибыли злоумышленника. Эта цифра описывает, сколько токенов USDG было перемещено. Это не подтвержденный учет того, что кто-либо получил или потерял в долларовом выражении.
Arcus закрывает разрыв и объявляет награду
Arcus заявляет, что недостаток был покрыт за счет корпоративной казны. Согласно результатам исследования, средства других пользователей не пострадали, а операции были восстановлены в течение нескольких часов.
Биржа также выбрала путь прозрачности. Она опубликовала адрес злоумышленника и сотрудничает с исследователями блокчейна для отслеживания средств.
Также существует аспект переговоров. Сообщается, что Arcus предложил эксплуататору вознаграждение в обмен на возврат значительной части токенов. Неизвестно, принял ли эксплуататор это предложение.
Инцидент был охарактеризован как внутренняя бухгалтерская ошибка, а не как уязвимость в безопасности смарт-контракта.
Фон: Arcus и Robinhood Chain
Arcus — это децентрализованная биржа, связанная с командой dYdX, одной из самых опытных в области деривативов на цепочке. Она работает на Robinhood Chain и осуществляет выплаты в USDG через BridgeVault.
На 13 ноября 2026 года не было сообщений о более широком заражении рынка, связанном с уязвимостью. Ущерб, по всей видимости, ограничился самим Arcus, и компания поглотила его.
Что это значит
Самый информативный деталь здесь — временной разрыв. Ограничение скорости моста сработало около 22:10 по восточному времени, через три минуты после эксплуатации. Полная остановка платформы произошла только в 23:07, почти через час после того, как мониторинг зафиксировал проблему в 22:15.
В этот период автоматический аварийный выключатель выполнял основную часть работы. Без него примерно 3 миллиона долларов США в заблокированных запросах, скорее всего, присоединились бы к уже выведенным 2 234 391 USDG.
Второй урок касается того, где на самом деле скрывается риск. Аудиты обычно сосредоточены на смарт-контрактах, и, как сообщается, контракты Arcus не были слабым звеном. Ошибка заключалась в внутренней бухгалтерской логике переводов субсчетов — уровне, который легко упустить из виду, поскольку он воспринимается как бухгалтерский учет, а не безопасность.
Целочисленные переполнения — это хорошо изученный класс ошибок. Их появление в производственной системе, связанной с опытной командой, напоминает о том, что знакомые сценарии сбоев продолжают возникать там, где арифметика затрагивает балансы.
Для трейдеров гарантия со стороны казначейства — это успокаивающий фактор. Пользователи были полностью компенсированы, а платформа снова заработала к раннему утру следующего дня.
То, на что стоит обратить внимание сейчас, достаточно конкретно. Во-первых, примет ли злоумышленник вознаграждение и вернёт ли значительную долю токенов. Во-вторых, опубликует ли Arcus более подробный технический анализ инцидента, объясняющий, как произошло переполнение и какие проверки были добавлены.
В-третьих, другие площадки на Robinhood Chain будут ли пересматривать свои лимиты мостов с учетом того, сколько времени было сохранено. Трехминутный ответ от автоматизированного лимита по сравнению с часом для ручной паузы создает достаточно убедительный аргумент в пользу автоматизации.