A Arcus foi explorada por uma falha na lógica contábil interna. Depois de inflar artificialmente o saldo da conta, o invasor sacou diretamente US$ 2,234 milhões em USDG.
O incidente ocorreu em 10 de novembro, às 11h07. Uma conta recém-criada explorou uma falha contábil nas transferências entre subcontas da Arcus, inflando o saldo e, em seguida, solicitando um saque.
O invasor também tentou sacar outros US$ 3 milhões, mas a operação não foi concluída porque esbarrou no limite de velocidade da ponte entre blockchains. Depois, ela foi cancelada.
A equipe da Arcus descobriu e corrigiu a vulnerabilidade em menos de uma hora. Em seguida, a Arcus Labs cobriu integralmente o déficit com recursos do tesouro da empresa. Segundo a equipe, os saldos dos usuários não foram afetados, e as operações e os saques continuaram funcionando normalmente.
A equipe está trabalhando com investigadores on-chain para rastrear os fundos e divulgou o endereço da carteira usada inicialmente pelo invasor, pedindo às exchanges e aos prestadores de serviços pertinentes que ajudem a sinalizar os fundos.
O mais interessante é que, em vez de simplesmente optar por perseguir o invasor até o fim, a Arcus propôs diretamente um acordo de white hat:
Até 13 de novembro, às 09h00, horário de Pequim, o invasor deve devolver 90% dos fundos — cerca de US$ 2,011 milhões — em ETH, WETH ou DAI. Os 10% restantes, cerca de US$ 223 mil, poderão ficar com o invasor como recompensa pela descoberta da vulnerabilidade.
Se os fundos forem devolvidos dentro do prazo, a Arcus se compromete a reconhecer publicamente o caso como uma recuperação white hat e a não tomar outras medidas.
O ponto central dessa vulnerabilidade não foi uma invasão direta do contrato inteligente, mas um problema no tratamento contábil entre subcontas. Se os cálculos de saldo, as transferências internas e as verificações de saque de um sistema de negociação não formarem um ciclo completo, os ativos registrados nos livros podem se transformar em fundos realmente disponíveis para saque.
Além disso, as parcerias da Arcus com a dYdX e a Robinhood fizeram com que o incidente chamasse ainda mais a atenção do mercado. A vulnerabilidade já foi corrigida e os fundos dos usuários foram repostos com recursos do tesouro da empresa, mas a recuperação do dinheiro sacado ainda dependerá de o invasor aceitar o acordo.
O incidente ocorreu em 10 de novembro, às 11h07. Uma conta recém-criada explorou uma falha contábil nas transferências entre subcontas da Arcus, inflando o saldo e, em seguida, solicitando um saque.
O invasor também tentou sacar outros US$ 3 milhões, mas a operação não foi concluída porque esbarrou no limite de velocidade da ponte entre blockchains. Depois, ela foi cancelada.
A equipe da Arcus descobriu e corrigiu a vulnerabilidade em menos de uma hora. Em seguida, a Arcus Labs cobriu integralmente o déficit com recursos do tesouro da empresa. Segundo a equipe, os saldos dos usuários não foram afetados, e as operações e os saques continuaram funcionando normalmente.
A equipe está trabalhando com investigadores on-chain para rastrear os fundos e divulgou o endereço da carteira usada inicialmente pelo invasor, pedindo às exchanges e aos prestadores de serviços pertinentes que ajudem a sinalizar os fundos.
O mais interessante é que, em vez de simplesmente optar por perseguir o invasor até o fim, a Arcus propôs diretamente um acordo de white hat:
Até 13 de novembro, às 09h00, horário de Pequim, o invasor deve devolver 90% dos fundos — cerca de US$ 2,011 milhões — em ETH, WETH ou DAI. Os 10% restantes, cerca de US$ 223 mil, poderão ficar com o invasor como recompensa pela descoberta da vulnerabilidade.
Se os fundos forem devolvidos dentro do prazo, a Arcus se compromete a reconhecer publicamente o caso como uma recuperação white hat e a não tomar outras medidas.
O ponto central dessa vulnerabilidade não foi uma invasão direta do contrato inteligente, mas um problema no tratamento contábil entre subcontas. Se os cálculos de saldo, as transferências internas e as verificações de saque de um sistema de negociação não formarem um ciclo completo, os ativos registrados nos livros podem se transformar em fundos realmente disponíveis para saque.
Além disso, as parcerias da Arcus com a dYdX e a Robinhood fizeram com que o incidente chamasse ainda mais a atenção do mercado. A vulnerabilidade já foi corrigida e os fundos dos usuários foram repostos com recursos do tesouro da empresa, mas a recuperação do dinheiro sacado ainda dependerá de o invasor aceitar o acordo.