L'exchange decentralizzato Arcus DEX ha perso 2,23 milioni di dollari in un exploit il 9 novembre, dopo che una vulnerabilità contabile ha consentito a un attaccante di gonfiare il saldo registrato di un account appena creato e prelevare fondi che l'account non deteneva realmente. L'exchange ha dichiarato di aver coperto l'intero disavanzo con il proprio tesoro e che i saldi, le posizioni e gli ordini degli altri utenti non sono stati interessati.

Secondo Coin Bureau, che ha divulgato l'incidente in un post su X, la falla ha permesso all'attaccante di far apparire l'account come detentore di fondi notevolmente superiori alle sue attività effettive. Questa discrepanza nel sistema contabile della piattaforma ha consentito all'attaccante di prelevare denaro che l'account non possedeva, con una perdita risultante di 2,23 milioni di dollari.

Il rate limit del bridge ha bloccato un ulteriore tentativo di prelievo da 3 milioni di dollari

L'incidente avrebbe potuto causare una perdita maggiore. L'attaccante ha tentato di prelevare altri 3 milioni di dollari, ma il rate limit on-chain del bridge ha impedito l'elaborazione di tali pagamenti, bloccando i fondi prima che potessero uscire attraverso il bridge. I rate limit sui bridge sono progettati per limitare il valore che può transitarvi in un determinato periodo, una salvaguardia intesa a contenere i deflussi durante un exploit. Sommando i fondi già sottratti, l'attaccante ha puntato a un totale di circa 5,23 milioni di dollari, con il rate limit che ha interrotto più della metà di tale importo.

La fonte non ha fornito ulteriori dettagli sul meccanismo specifico utilizzato per manipolare il saldo dell'account o sulla causa tecnica dell'errore contabile.

Arcus ha corretto la vulnerabilità entro 90 minuti

Arcus ha rilevato e risolto la vulnerabilità entro circa 90 minuti dall'exploit. Come parte della propria risposta, la piattaforma ha bloccato gli indirizzi associati all'attaccante e ha temporaneamente sospeso i prelievi.

Le misure sono seguite al rilevamento dei prelievi non autorizzati e avevano lo scopo di contenere l'incidente mentre Arcus sistemava la falla contabile e limitava l'attività dell'attaccante.

Il tesoro copre l'intero disavanzo di 2,23 milioni di dollari

Arcus ha dichiarato di aver successivamente reintegrato l'intero disavanzo di 2,23 milioni di dollari utilizzando fondi del proprio tesoro, ribadendo che l'incidente non ha riguardato i saldi, le posizioni o gli ordini degli altri utenti. La dichiarazione della piattaforma indica che l'exploit si è limitato ai fondi sottratti dall'attaccante, senza estendersi alle partecipazioni registrate o alle posizioni di trading degli altri utenti.

Le operazioni di recupero sono in corso. I fondi sottratti vengono tracciati on-chain e Arcus sta collaborando con investigatori blockchain e forze dell'ordine per recuperarli. Non sono stati forniti ulteriori dettagli sul processo di recupero né sull'identità dell'attaccante.

Fonte: Hokanews