Arcus, децентралізована біржа, яка працює на Robinhood Chain, виплатила 2 234 391 USDG експлуататору після того, як баг дозволив недавно створеному акаунту збільшити свій баланс.
Компанія з безпеки CertiK приписує інцидент переповненню цілого числа. Це вид помилки в обчисленнях, коли число опускається нижче нуля і перетворюється на величезне позитивне значення. Уявіть собі одометр, який рухається назад крізь нуль і зупиняється на 999,999.
Виплати відбулися через дев’ять окремих переказів BridgeVault до гаманця, який Arcus згодом оприлюднив. Шкода мала бути більшою. Рано ввімкнувся ліміт ставки на ланцюзі, що заблокував додаткові виведення на оцінку в $3 мільйони.
Як розгорталися події експлуатації
Проблема почалася приблизно о 22:07 за східним часом 9 листопада 2026 року. Новий акаунт використав недоліки в обробці переказів між субакаунтами Arcus, що дозволило йому збільшити баланс набагато вище за фактично внесений обсяг.
Власний звіт про інцидент біржі містить дату 9 листопада. CertiK зазначає, що відповідна активність у реєстрі та виконання в мережі відбулися 10 листопада за UTC. Пізньою вечірньою годиною на східному узбережжі США вже наступний день за UTC, тому обидві дати описують ту саму ніч.
Терміни відповіді, згідно з результатами глибокого дослідження, виглядали так:
- Около 22:10 за східним часом: активувався ліміт швидкості на он-чейн мості
- 10:15 p.m. ET: внутрішній моніторинг зафіксував активність
- 11:07 p.m. ET: Arcus призупинив виведення коштів на всій платформі
- Приблизно через 30 хвилин після паузи: було впроваджено виправлення
- 4:26 a.m. ET, 10 листопада: виведення відновлено
Приблизно 3 мільйони доларів США запитів на виведення, які були затримані через обмеження швидкості, були скасовані після виправлення. Експлуататор забрав 2 234 391 USDG, які вже були оброблені, і нічого більшого.
Одна деталь, яку варто зберігати на увазі: CertiK прямо зазначає, що кількість токенів не є незалежно оціненим збитком у доларах чи показником прибутку атакуючого. Ця цифра описує, скільки токенів USDG було переміщено. Це не підтверджений бухгалтерський облік того, що хтось отримав або втратив у доларовому виразі.
Arcus закриває розрив і оголошує нагороду
Arcus стверджує, що він покрив дефіцит зі своєї корпоративної скарбниці. Згідно з результатами дослідження, кошти інших користувачів не постраждали, а операції були відновлені протягом кількох годин.
Біржа також обрала шлях прозорості. Вона опублікувала адресу зловмисника і співпрацює з дослідниками блокчейну для відстеження коштів.
Також існує переговорний аспект. Згідно з повідомленнями, Arcus запропонував експлуататору винагороду за повернення значної частини токенів. Чи прийняв експлуататор цю угоду, залишається невідомим.
Подія була охарактеризована як внутрішня бухгалтерська помилка, а не недолік безпеки смарт-контракту.
Фон: Arcus та Robinhood Chain
Arcus — це децентралізована біржа, що пов’язана з командою dYdX, однією з найдовше працюючих назв у сфері деривативів на ланцюзі. Вона працює на Robinhood Chain і здійснює виплати в USDG через свої BridgeVault.
На стані на 13 листопада 2026 року не було повідомлень про ширші ринкові зараження, пов’язані з експлуатацією. Шкода, здається, обмежилася саме Arcus, і компанія відшкодувала її.
Що це означає
Найбільш інформативним деталем тут є розрив у часовій шкалі. Обмеження на міст приблизно о 22:10 за східним часом, через три хвилини після початку експлуатації. Загальна зупинка платформи відбулася лише о 23:07, майже через годину після того, як системи моніторингу зафіксували проблему о 22:15.
Під час цього періоду автоматичний аварійний вимикач виконував більшу частину важкої роботи. Без нього приблизно 3 мільйони доларів США у заблокованих запитах, швидше за все, приєдналися б до вже виведених 2 234 391 USDG.
Другий урок стосується того, де реально знаходиться ризик. Аудити зазвичай зосереджуються на смартконтрактах, і, за повідомленнями, контракти Arcus не були слабким місцем. Помилка полягала в внутрішній бухгалтерській логіці переказів субрахунків — рівні, який легко не помітити, оскільки він виглядає як бухгалтерський облік, а не безпека.
Переповнення цілих чисел — це добре відомий клас помилок. Їх поява в продуктивній системі, пов’язаній з досвідченою командою, нагадує, що знайомі сценарії відмови продовжують з’являтися там, де арифметика стосується балансів.
Для трейдерів підтримка скарбниці — це втішна частина. Користувачі були повністю компенсовані, а платформа знову працювала вже на початку наступного ранку.
Те, за чим слід стежити зараз, досить конкретне. По-перше, чи прийме експлуататор винагороду і поверне значну частину токенів. По-друге, чи опублікує Arcus детальніший технічний аналіз інциденту, який пояснює, як відбулося переповнення і які перевірки були додані.
Третє, чи переглянуть інші платформи на Robinhood Chain свої ліміти мостів, враховуючи, скільки це зберегло. Трьоххвилинна відповідь від автоматизованого ліміту порівняно з годиною для ручної паузи робить досить переконливий аргумент на користь автоматизації.