Децентрализованная биржа Arcus, работающая на блокчейне Robinhood Chain, объявила о краже криптоактивов на сумму около $2,23 млн. По информации торговой площадки, неизвестные использовали уязвимость в системе переводов между субсчетами одного из клиентов.
Расследование показало, что ошибка в коде позволяла любому аккаунту искусственно увеличить свой баланс и подать заявку на вывод виртуальных средств. Злоумышленники смогли добавить миллионный баланс на новый аккаунт.
Неизвестные успели вывести часть средств до того, как биржа заблокировала операции на адресе хакеров. Ещё примерно $3 млн были заблокированы из‑за ончейн-лимита пропускной способности моста. В Arcus заявили, что средства клиентов не пострадали, а уязвимость уже устранена.
Возместить ущерб планировалось из казначейства Arcus. Через два дня после взлома биржа предложила взломщикам до 13 ноября вернуть 90% выведенной суммы (около $2,011 млн в эфире, обернутом эфире (WETH) или DAI), а $223 000 оставить в качестве вознаграждения за обнаружение уязвимости.
Arcus — это приложение в сети Robinhood Chain. Биржа стала одной из первых, кто запустился на этом блокчейне, — это произошло в июле. Платформа предлагает спотовую торговлю и торговлю вечными фьючерсами: цена формируется не только за счёт пула ликвидности, но и выбирается из котировок маркетмейкеров. В октябре биржа сообщила об объёме торгов в $5 млрд.
Кроме того, недавно хакерской атаке подвергся кроссчейн-мост Ankr: злоумышленник провёл пять несанкционированных операций вывода средств и похитил криптоактивы на сумму более $303 000.