Как из Arcus вывели 2,23 млн USDG

10 ноября 2026 года злоумышленник воспользовался ошибкой во внутренних переводах Arcus и вывел 2 234 391 USDG. Ещё около $3 млн в заявках на вывод остановил лимит моста: эти средства не покинули платформу и позднее были возвращены на счета. Arcus заявила, что покрыла недостачу из казны компании, а балансы, позиции и ордера остальных пользователей не пострадали.

Как сработала ошибка

Злоумышленник создал аккаунт и воспользовался переводами между собственными субаккаунтами. Это отдельные счета внутри одного профиля, между которыми пользователь может перемещать средства.

При определённых условиях Arcus записывала на такой аккаунт баланс, намного превышавший фактическую сумму. Платформа затем принимала заявки на вывод, опираясь на ошибочную запись. Так изначально неверный внутренний расчёт привёл к выводу реальных активов.

Точную техническую причину Arcus не раскрыла. Поэтому нельзя уверенно сказать, какая именно строка кода или операция вызвала сбой.

Лимит моста остановил часть выводов

В ночь на 10 ноября по московскому времени с платформы вывели 2 234 391 USDG. Ещё около $3 млн в заявках на вывод не прошли из-за лимита моста — сервиса, который переносит активы между блокчейнами. Эти заявки отменили; считать их частью похищенной суммы нельзя.

Arcus приостановила выводы со всей платформы, исправила ошибку и ограничила операции с адресами злоумышленника. Позднее выводы возобновили. Компания сообщила, что внесла в казну платформы сумму недостачи. Это возместило потери Arcus, но само по себе не означает, что похищенные средства удалось вернуть.

В отчёте Arcus говорится, что команда обнаружила и исправила ошибку в течение часа. Однако приведённая там же хронология показывает: первые подозрительные выводы начались около 22:07 по восточному времени США, мониторинг отметил их в 22:15, а исправление развернули в 23:37. Между обнаружением и установкой исправления прошло 82 минуты. Отчёт не объясняет это расхождение.

Куда ушли средства

После вывода из Robinhood Chain активы перевели через Relay.link в Ethereum. Там средства разделились на несколько направлений:

• Около 475,9 WETH обменяли на 1 008 945 DAI через CoW Protocol. DAI отправили на адрес 0x9a30...13D0; по последним доступным данным, средства оставались там.
• Около 101 ETH прошли через THORChain и Relay.link и были обменены примерно на 2,83 BTC. Биткоины поступили на адрес bc1qt...79wn7 и на момент проверки не двигались.
• Около 475 ETH оставались на исходном адресе злоумышленника в Ethereum: 0xeFbf...0b3Dd.

Адреса здесь сокращены: для понимания маршрута не обязательно приводить их целиком.

Что показывает этот случай

Ошибка возникла во внутреннем учёте Arcus: система позволила запросить вывод, опираясь на баланс, которого у аккаунта фактически не было. При этом лимит моста сдержал дополнительные заявки примерно на $3 млн.

Arcus заявила, что остальные пользователи не потеряли средства, и покрыла недостачу из казны. Расследование движения похищенных активов продолжается; возврат средств не подтверждён.