Decentrale beurs Arcus DEX verloor $2,23 miljoen door een exploit op 9 november, nadat een boekhoudkwetsbaarheid een aanvaller in staat stelde het geregistreerde saldo van een nieuw aangemaakt account kunstmatig te verhogen en fondsen op te nemen die er niet daadwerkelijk in waren aangehouden. De beurs meldde dat zij het volledige tekort uit haar treasury heeft gedekt en dat de saldi, posities of orders van geen enkele andere gebruiker zijn getroffen.

Volgens Coin Bureau, dat de incidentie in een X-post aan het licht bracht, maakte het mankement het mogelijk om het account veel grotere bedragen te laten tonen dan de werkelijke activa. Door deze discrepantie in het boekhoudsysteem van het platform kon de aanvaller geld opnemen dat het account niet bezat, wat resulteerde in het verlies van $2,23 miljoen.

Rate Limit van Bridge Blokkeert Extra Opnamepoging van $3 Miljoen

Het incident had tot een groter verlies kunnen leiden. De aanvaller probeerde nog eens $3 miljoen op te nemen, maar de on-chain rate limit van de bridge verhinderde dat die uitbetalingen werden verwerkt, waardoor de fondsen werden geblokkeerd voordat ze de bridge konden verlaten. Rate limits op bridges zijn ontworpen om te beperken hoeveel waarde er in een bepaalde periode doorheen kan stromen, een beveiliging die bedoeld is om uitstromen tijdens een exploit te beperken. Meegerekend de reeds gestolen fondsen zocht de aanvaller in totaal circa $5,23 miljoen, waarvan de rate limit meer dan de helft afsneed.

Het bronrapport gaf geen verdere details over de specifieke methode die werd gebruikt om het accountsaldo te manipuleren of over de technische oorzaak van de boekhoudfout.

Arcus Verhielp de Kwetsbaarheid Binnen 90 Minuten

Arcus ontdekte en verhielp de kwetsbaarheid binnen ongeveer 90 minuten na de exploit. Als onderdeel van de reactie blokkeerde het platform de adressen die aan de aanvaller waren gelinkt en schortte het opnames tijdelijk op.

Deze maatregelen volgden op de ontdekking van de ongeautoriseerde opnames en waren bedoeld om het incident in te dammen terwijl Arcus de boekhoudfout verhielp en de activiteiten van de aanvaller beperkte.

Treasury Dekent het Volledige Tekort van $2,23 Miljoen

Arcus meldde dat zij het volledige tekort van $2,23 miljoen inmiddels heeft aangevuld met middelen uit haar treasury, en herhaalde dat het incident geen invloed heeft gehad op de saldi, posities of orders van andere gebruikers. De verklaring van het platform geeft aan dat de exploit beperkt bleef tot de fondsen die de aanvaller heeft meegenomen, zonder uit te breiden naar de geregistreerde accounttegoeden of handelsposities van andere gebruikers.

De inspanningen voor terugvordering gaan door. De gestolen fondsen worden on-chain gevolgd, en Arcus werkt samen met blockchainonderzoekers en wetshandhavers om hun terugvordering na te streven. Er zijn geen verdere details verstrekt over het herstelproces of de identiteit van de aanvaller.

Bron: Hokanews