El exchange descentralizado Arcus DEX perdió $2.23 millones en un exploit el 9 de noviembre, después de que una vulnerabilidad contable permitiera a un atacante inflar el saldo registrado de una cuenta recién creada y retirar fondos que en realidad no se encontraban en ella. El exchange indicó que ha cubierto la totalidad del faltante con fondos de su tesorería y que los saldos, posiciones u órdenes de otros usuarios no fueron afectados.

Según Coin Bureau, que reveló el incidente en una publicación en X, la falla permitió al atacante hacer que la cuenta aparentara poseer fondos considerablemente superiores a sus activos reales. Esta discrepancia en el sistema contable de la plataforma le permitió al atacante retirar dinero que la cuenta no poseía, lo que derivó en la pérdida de $2.23 millones.

El límite de tarifas del bridge bloqueó un intento adicional de retiro de $3 millones

El incidente pudo haber terminado en una pérdida mayor. El atacante intentó retirar $3 millones adicionales, pero el límite de tarifas on-chain del bridge impidió que esos pagos se procesaran, bloqueando los fondos antes de que pudieran salir a través del bridge. Los límites de tarifas en los bridges están diseñados para restringir cuánto valor puede moverse por ellos en un período determinado, una salvaguarda destinada a limitar las salidas de fondos durante un exploit. Sumados a los fondos ya sustraídos, el atacante buscó aproximadamente $5.23 millones en total, y el límite de tarifas bloqueó más de la mitad de ese monto.

El informe de origen no proporcionó más detalles sobre el mecanismo específico utilizado para manipular el saldo de la cuenta ni sobre la causa técnica del error contable.

Arcus corrigió la vulnerabilidad en 90 minutos

Arcus detectó y atendió la vulnerabilidad en un lapso aproximado de 90 minutos tras el exploit. Como parte de su respuesta, la plataforma bloqueó las direcciones asociadas al atacante y suspendió temporalmente los retiros.

Estas medidas se produjeron tras el descubrimiento de los retiros no autorizados y tuvieron como objetivo contener el incidente mientras Arcus atendía la falla contable y restringía la actividad del atacante.

La tesorería cubre la totalidad del faltante de $2.23 millones

Arcus informó que desde entonces ha repuesto la totalidad del faltante de $2.23 millones utilizando fondos de su tesorería, y reiteró que el incidente no afectó los saldos, posiciones u órdenes de otros usuarios. La declaración de la plataforma indica que el exploit se limitó a los fondos sustraídos por el atacante, sin extenderse a los saldos registrados ni a las posiciones de trading de otros usuarios.

Los esfuerzos de recuperación continúan. Los fondos robados están siendo rastreados on-chain, y Arcus se coordina con investigadores de blockchain y autoridades policiales para lograr su recuperación. No se han proporcionado más detalles sobre el proceso de recuperación ni sobre la identidad del atacante.

Fuente: Hokanews