Arcus 是一運行於 Robinhood Chain 上的去中心化交易所，在出現漏洞後，一個新創建的帳戶被允許虛增餘額，導致 Arcus 向攻擊者支付了 2,234,391 USDG。
安全公司 CertiK 將此事件歸因於整數下溢。這是一種數學錯誤，當數字低於零時會迴繞成一個巨大的正值。想像一下里程表向後倒轉超過零，最終停在 999,999。
賠付款項透過九筆獨立的 BridgeVault 轉帳至 Arcus 後來公開的錢包。損失本可能更嚴重，因為鏈上速率限制提早啟動，阻止了約 300 萬美元的額外提現。
漏洞如何發生
問題始於 2026 年 11 月 9 日晚上 10:07（ET）。一個新創建的帳戶濫用了 Arcus 處理子帳戶之間轉帳的漏洞，使其餘額遠高於實際存入的金額。
交易所的自身事件報告標註的日期為11月9日。CertiK指出，相關帳本活動和鏈上執行發生在UTC時間11月10日。美國東海岸的深夜已進入UTC的次日，因此兩個日期描述的是同一晚。
根據深入研究的發現，回應時間線如下：
- 美國東部時間晚上10:10左右：鏈上橋接速率限制已啟用
- 晚上10:15（美國東部時間）：內部監控標記了此活動
- 晚上 11:07（美國東部時間）：Arcus 已暫停整個平台的提現功能
- 暫停後約 30 分鐘：已部署修復程式
- 上午4:26（東部時間），11月10日：提現已恢復
在修復上線後，原本因速率限制而被延遲的約 300 萬美元提款請求被撤銷。攻擊者帶走了已通過的 2,234,391 USDG，再無其他。
一個值得注意的細節：CertiK 明確表示，代幣數量並非獨立計價的美元損失，也不是攻擊者利潤的衡量標準。該數字僅描述了有多少 USDG 代幣被轉移，並未經過核實以確認任何人於美元層面的獲利或損失。
Arcus 填補了缺口並懸賞獎金
Arcus 表示，已從公司金庫彌補了資金缺口。根據研究結果，其他用戶資金未受負面影響，且運營已在數小時內恢復上線。
該交易所也採取了透明化措施，公布了攻擊者的地址，並正與區塊鏈調查人員合作追蹤資金。
還有一個談判的角度。據報導，Arcus 曾提出向攻擊者提供獎金，以換取其歸還大量代幣。至於攻擊者是否接受此協議，目前仍未知。
此事件被定性為內部會計錯誤，而非智能合約安全性的缺陷。
背景：Arcus 和 Robinhood Chain
Arcus 是一家與 dYdX 團隊一致的去中心化交易所，該團隊是鏈上衍生產品交易中歷史最悠久的名稱之一。它運行於 Robinhood Chain 上，並透過其 BridgeVault 以 USDG 進行結算。
截至 2026 年 11 月 13 日，未有報告指出此次漏洞引發更廣泛的市場傳染。損失似乎僅限於 Arcus 本身，且公司已自行承擔。
這意味著
這裡最具啟發性的細節是時間上的差距。橋接速率限制在東部時間晚上10:10啟動，距離攻擊開始僅三分鐘。而全平台暫停直到晚上11:07才實施，距離監控在10:15標記問題已近一小時。
在該窗口期間，自動斷路器承擔了大部分繁重工作。若無它，約 300 萬美元的被阻請求很可能會加入已流出的 2,234,391 USDG。
第二課談論風險實際存在的位置。審計通常專注於智能合約，而據稱 Arcus 的合約並非弱點。失敗之處在於子帳戶轉帳的內部會計邏輯，這一層面容易被忽略，因為它看起來像是帳務記錄，而非安全問題。
整數下溢是一類被廣為理解的漏洞。它們出現在與經驗豐富團隊相關的生產系統中，提醒我們只要涉及餘額的算術運算，熟悉的故障模式就會不斷重現。
對於交易者來說，財政儲備支持是最令人安心的部分。用戶的資金已得到賠償，平台在次日清晨早期已恢復運行。
目前需要關注的事項相當具體。首先，觀察攻擊者是否接受懸賞並歸還一定比例的代幣。其次，觀察 Arcus 是否會發布更完整的技術復盤，說明下溢漏洞是如何被忽略的，以及已新增哪些檢查措施。
第三，其他 Robinhood Chain 上的平台是否會根據此處節省的時間，重新審視自己的橋接速率限制。自動化限制的三分鐘回應，相較於手動暫停的一小時，頗具說服力地證明了自動化的優勢。