Arcus, một sàn giao dịch phi tập trung chạy trên Robinhood Chain, đã chi trả 2.234.391 USDG cho một kẻ khai thác lỗ hổng sau khi một tài khoản mới tạo ra tăng dư nợ của chính nó.
Công ty bảo mật CertiK cho rằng sự cố này là do tràn số nguyên. Đó là loại lỗi toán học xảy ra khi một số giảm xuống dưới zero và quay vòng thành một giá trị dương cực lớn. Hãy tưởng tượng đồng hồ里程 quay ngược lại qua zero và dừng lại ở 999,999.
Các khoản thanh toán đã được thực hiện qua chín lần chuyển riêng biệt đến ví mà Arcus đã công khai sau đó. Thiệt hại có thể đã nghiêm trọng hơn. Một giới hạn tỷ lệ trên chuỗi đã kích hoạt sớm và chặn khoảng 3 triệu USD các khoản rút tiền bổ sung.
Cách vụ khai thác được thực hiện
Vấn đề bắt đầu vào khoảng 22:07 giờ ET ngày 9 tháng 11 năm 2026. Một tài khoản mới được tạo đã khai thác các lỗ hổng trong cách Arcus xử lý các khoản chuyển giữa các tài khoản con, cho phép nó tăng số dư lên vượt xa so với số tiền thực tế đã nạp.
Báo cáo sự cố của sàn giao dịch ghi ngày 9 tháng 11. CertiK lưu ý rằng các hoạt động sổ sách liên quan và các giao dịch trên chuỗi xảy ra vào ngày 10 tháng 11 theo giờ UTC. Buổi tối muộn ở bờ Đông Hoa Kỳ đã là ngày tiếp theo theo giờ UTC, nên cả hai ngày đều mô tả cùng một đêm.
Lịch trình phản hồi, theo các phát hiện từ nghiên cứu sâu, trông như sau:
- Khoảng 22:10 giờ ET: giới hạn tỷ lệ cầu trên chuỗi đã được kích hoạt
- 22:15 ET: hệ thống giám sát nội bộ phát hiện hoạt động
- 23:07 giờ ET: Arcus đã tạm dừng các lệnh rút tiền trên toàn bộ nền tảng
- Khoảng 30 phút sau khi tạm dừng: bản vá đã được triển khai
- 4:26 sáng ET, ngày 10 tháng 11: các khoản rút tiền đã được khôi phục
Khoảng 3 triệu USD các yêu cầu rút tiền bị giới hạn tỷ lệ đã được hoàn lại ngay sau khi bản sửa lỗi được kích hoạt. Kẻ khai thác đã mang đi 2.234.391 USDG đã được xử lý thành công, và không thêm gì nữa.
Một điểm tinh tế cần lưu ý: CertiK rõ ràng cho biết số lượng token không phải là tổn thất tính bằng đô la độc lập hay thước đo lợi nhuận của kẻ tấn công. Con số này mô tả số lượng token USDG đã được di chuyển. Nó không phải là báo cáo kế toán được xác minh về những gì bất kỳ ai đã kiếm được hoặc mất tính bằng đô la.
Arcus lấp đầy khoảng trống và treo thưởng
Arcus cho biết đã bù đắp khoản thiếu hụt từ quỹ công ty. Theo các phát hiện nghiên cứu, không có quỹ của người dùng nào khác bị ảnh hưởng tiêu cực, và hoạt động đã được khôi phục trong vòng vài giờ.
Sàn giao dịch cũng lựa chọn con đường minh bạch. Nó đã công bố địa chỉ của kẻ khai thác lỗ hổng và đang hợp tác với các nhà điều tra blockchain để truy vết số tiền.
Cũng có một góc độ đàm phán. Arcus được cho là đã đề nghị phần thưởng cho kẻ khai thác để đổi lấy việc trả lại một phần lớn số token. Hiện vẫn chưa rõ kẻ khai thác có chấp nhận thỏa thuận này hay không.
Sự cố đã được xác định là lỗi kế toán nội bộ, không phải lỗ hổng bảo mật hợp đồng thông minh.
Bối cảnh: Arcus và Robinhood Chain
Arcus là một sàn giao dịch phi tập trung được đồng hành cùng đội ngũ dYdX, một trong những cái tên lâu đời nhất trong lĩnh vực giao dịch phái sinh trên chuỗi. Nó hoạt động trên Robinhood Chain và thực hiện thanh toán bồi thường bằng USDG thông qua BridgeVault.
Tính đến ngày 13 tháng 11 năm 2026, không có báo cáo nào về sự lây lan rộng hơn trên thị trường liên quan đến lỗ hổng. Thiệt hại dường như chỉ giới hạn ở chính Arcus, và công ty đã gánh chịu nó.
Điều này có nghĩa là
Chi tiết hữu ích nhất ở đây là khoảng trống về thời gian. Giới hạn tỷ lệ cầu đã được kích hoạt vào khoảng 22:10 giờ ET, ba phút sau khi vụ khai thác xảy ra. Việc tạm dừng toàn nền tảng không được thực hiện cho đến 23:07, gần một giờ sau khi hệ thống giám sát phát hiện vấn đề lúc 22:15.
Trong khoảng thời gian đó, hệ thống phanh tự động đã thực hiện phần lớn công việc nặng nhọc. Nếu không có nó, khoảng 3 triệu USD trong các yêu cầu bị chặn rất có thể đã gia nhập con số 2.234.391 USDG đã được rút ra ngoài.
Bài học thứ hai liên quan đến nơi thực sự tồn tại rủi ro. Các cuộc kiểm toán thường tập trung vào hợp đồng thông minh, và các hợp đồng của Arcus được cho là không phải điểm yếu. Sự cố nằm ở logic kế toán nội bộ cho các khoản chuyển giữa tài khoản con, một lớp dễ bị bỏ qua vì nó trông giống như công việc kế toán hơn là bảo mật.
Các lỗi tràn số nguyên là một lớp lỗi đã được hiểu rõ. Sự xuất hiện của chúng trong một hệ thống sản xuất gắn liền với một đội ngũ có kinh nghiệm là lời nhắc nhở rằng các mô hình lỗi quen thuộc tiếp tục tái xuất hiện bất cứ nơi nào phép toán liên quan đến số dư.
Đối với các nhà giao dịch, phần đảm bảo từ kho bạc là điều mang lại sự an tâm. Người dùng đã được bồi thường đầy đủ và nền tảng đã hoạt động trở lại vào đầu sáng hôm sau.
Những điều cần theo dõi hiện nay khá cụ thể. Thứ nhất, liệu kẻ khai thác có chấp nhận phần thưởng và trả lại một phần ý nghĩa các token hay không. Thứ hai, liệu Arcus có công bố bài phân tích kỹ thuật đầy đủ hơn giải thích cách lỗi tràn dưới xảy ra và những kiểm tra nào đã được thêm vào hay không.
Thứ ba, liệu các nền tảng khác trên Robinhood Chain có xem xét lại giới hạn cầu của chính họ dựa trên lượng thời gian mà cầu này đã tiết kiệm được. Một phản hồi ba phút từ giới hạn tự động, so với một giờ cho việc tạm dừng thủ công, tạo ra một lập luận khá thuyết phục về tính tự động hóa.