Ошибка в коде платформы Arcus позволяла любому аккаунту записать баланс, значительно превышающий реальный, и инициировать вывод виртуальных средств. Благодаря уязвимости злоумышленники сформировали миллионный баланс даже на новом чистом аккаунте. Схожие векторы атак ранее фиксировались в DeFi‑протоколах из‑за некорректной валидации балансов перед операциями.
Часть фиктивных средств неизвестные успели вывести до блокировки операций на адресе хакеров. Ещё примерно 3 млн долларов были удержаны за счёт ончейн‑лимита пропускной способности моста. В архитектуре кроссчейн‑мостов подобные лимиты нередко выступают вторичным барьером при обнаружении аномальных транзакций.
Биржа заявила, что средства клиентов не пострадали, а выявленная уязвимость уже устранена. Возмещение ущерба предполагалось за счёт казначейства Arcus. В истории криптоплатформ подобные механизмы покрытия убытков через внутренние резервы применялись после инцидентов 2022 года.
Спустя два дня после взлома Arcus предложила злоумышленникам до 13 ноября вернуть 90 % выведенной суммы — около 2,011 млн долларов в эфире, WETH или DAI. Оставшиеся 223 000 долларов планировалось оставить в качестве вознаграждения за обнаружение уязвимости. Практика bug‑bounty в криптоиндустрии нередко включает частичный возврат средств при добровольном сотрудничестве хакеров.
Arcus функционирует как приложение в сети Robinhood Chain и одной из первых была запущена на этом блокчейне в июле. Платформа сочетает спотовую торговлю и вечные фьючерсы, используя котировки маркетмейкеров наряду с пулами ликвидности. Такой гибридный подход к ценообразованию встречается редко и требует дополнительных проверок валидности цен на стороне протокола.
Параллельно зафиксирована хакерская атака на кроссчейн‑мост Ankr, где злоумышленник провёл пять несанкционированных выводов. В результате похищены криптоактивы на сумму свыше 303 000 долларов. Инциденты с кроссчейн‑мостами в 2023–2024 годах часто были связаны с компрометацией приватных ключей или ошибками в верификации сообщений между сетями.
