Arcus, Robinhood Chain üzerinde çalışan bir dezentralize borsa, yeni oluşturulmuş bir hesabın bakiyesini şişirmesine izin veren bir hata nedeniyle 2.234.391 USDG'yi bir saldırganına ödedi.
Güvenlik firması CertiK, olayı bir tamsayı alt akışına atfediyor. Bu, bir sayının sıfırın altına düşüp devasa bir pozitif değere dönüşmesiyle oluşan bir matematik hatasıdır. Bir kilometre sayacının sıfırın altına doğru geriye doğru dönerken 999.999'da durduğunu hayal edin.
Ödeme işlemleri, Arcus'un sonradan kamuoyuna açıkladığı bir cüzdana yapılan dokuz ayrı BridgeVault transferi boyunca gerçekleşti. Hasar daha da büyük olabilirdi. Zincir üzerindeki bir oran sınırı erken etkinleşti ve ek olarak yaklaşık 3 milyon dolarlık çekimleri engelledi.
Saldırının nasıl gerçekleştiği
Sorun, 9 Kasım 2026 tarihinde yaklaşık 22:07 ET'de başladı. Yeni oluşturulmuş bir hesap, Arcus'un alt hesaplar arasında transferleri işleme biçimindeki hataları kötüye kullandı ve bu da hesabının gerçek olarak yatırdığından çok daha yüksek bir bakiyeye ulaşmasını sağladı.
Borsanın kendi olay raporu 9 Kasım tarihini taşımaktadır. CertiK, ilgili defter aktivitesinin ve zincir üstü yürütmenin 10 Kasım UTC'de gerçekleştiğini belirtmektedir. ABD Doğu Sahili'nin geç saatleri UTC'de zaten bir sonraki gündür, bu nedenle her iki tarih de aynı geceyi tanımlamaktadır.
Derin araştırmaların bulgularına göre yanıt zaman çizelgesi şöyleydi:
- ET saatine göre yaklaşık 22:10'da: zincir içi köprü hız sınırı etkinleştirildi
- 10:15 p.m. ET: dahili izleme sistemi etkinliği tespit etti
- 11:07 p.m. ET: Arcus, tüm platformda çekimleri durdurdu
- Durdurmadan yaklaşık 30 dakika sonra: bir düzeltme yayınlandı
- 10 Kasım, ET saat 04:26: çekimler yeniden başlatıldı
Oran sınırı tarafından durdurulan yaklaşık 3 milyon dolarlık çekim talepleri, düzeltme yayınlandığında geri alındı. Sızan taraf, zaten onaylanan 2.234.391 USDG’yi aldı ve daha fazlasını almadı.
Dikkat edilmesi gereken bir nuans: CertiK, token sayısının bağımsız bir dolar kaybı veya saldırgan kârının bir ölçüsü olmadığını açıkça belirtiyor. Bu rakam, kaç adet USDG tokeninin hareket ettiğini tanımlıyor; kimseyein dolar cinsinden ne kazandığı veya kaybettiği konusunda doğrulanmış bir muhasebe değildir.
Arcus boşluğu dolduruyor ve bir ödül veriyor
Arcus, eksikliği şirket hazinesinden kapattığını söyledi. Araştırmaya göre, diğer kullanıcıların fonları olumsuz etkilenmedi ve işlemler saatler içinde yeniden aktif hale geldi.
Borsa, şeffaflık yolunu da izledi. Saldırganın adresini yayınladı ve fonların izlenmesi için blok zinciri araştırmacılarıyla çalışıyor.
Bir pazarlık açısı da var. Arcus,Exploiter'e büyük bir miktar tokeni geri vermesi karşılığında bir ödül teklif etti. Exploiter'in bu teklifi kabul edip etmediği ise bilinmiyor.
Olay, akıllı sözleşme güvenliğiyle ilgili bir hata değil, dahili muhasebe hatası olarak tanımlandı.
Arkus ve Robinhood Chain
Arcus, zincir üzerindeki türev işlemlerde uzun süredir var olan dYdX ekibiyle uyumlu bir merkeziyetsiz borsadır. Robinhood Chain üzerinde çalışır ve ödemeleri BridgeVault aracılığıyla USDG üzerinden çözer.
13 Kasım 2026 itibarıyla, bu istismara bağlı daha geniş bir piyasa bulaşmasıyla ilgili hiçbir rapor yoktu. Hasarın görünürde Arcus'a özgü olduğu ve şirketin bunu kendi başına karşıladığı görülmektedir.
Bu ne anlama geliyor
Buradaki en açıklayıcı detay, zaman çizelgesindeki boşluktur. Köprü hız sınırı, istismarın üçüncü dakikasında, ET saatine göre 22:10 civarında etkinleşti. Platform genelindeki durdurma, sorunun 22:15'te izlendiği yaklaşık bir saat sonra, 23:07'de gerçekleşti.
Bu pencere sırasında, otomatik devre kesici büyük yükü üstlendi. Bunun olmaması durumunda, yaklaşık 3 milyon dolarlık engellenen talepler, zaten dışarıdaki 2.234.391 USDG ile birlikte yer alırdı.
İkinci ders, riskin aslında nerede yaşadığını konu alır. Denetimler genellikle akıllı sözleşmelere odaklanır ve Arcus’un sözleşmelerinin zayıf nokta olmadığı bildirilmiştir. Hata, alt hesap transferleri için dahili muhasebe mantığında yer almıştır; bu katman, güvenlik değil muhasebe gibi görüldüğü için kolayca gözden kaçırılabilir.
Tamsayı alt akışları iyi bilinen bir hata sınıfıdır. Deneyimli bir ekipyle ilişkili bir üretim sisteminde ortaya çıkması, aritmetiğin bakiyelere dokunduğu her yerde tanıdık hata modlarının yeniden ortaya çıktığını hatırlatır.
İşlem yapanlar için hazinenin garantisini almak rahatlatıcı bir durumdur. Kullanıcılar tamamen telafi edildi ve platform bir sonraki sabah erken saatlerde tekrar çalışmaya başladı.
Şu anda dikkat edilmesi gereken şeyler oldukça somut. İlk olarak, saldırganın ödülü kabul edip edimediği ve tokenların anlamlı bir kısmını geri verip vermediği. İkinci olarak, Arcus’un altta yatan taşma hatasının nasıl kaçtığına ve hangi kontrollerin eklendiğine dair daha kapsamlı bir teknik sonuç raporu yayınlayıp yayınlamadığı.
Üçüncü olarak, Robinhood Zinciri'ndeki diğer platformların, bu platformun ne kadar tasarruf sağladığını göz önünde bulundurarak kendi köprü hız sınırlarını gözden geçirmesi. Otomatik bir sınırlamadan üç dakikalık bir yanıt, manüel durdurma için bir saate kıyasla otomasyon için oldukça ikna edici bir argüman sunuyor.