Zdecentralizowana giełda Arcus DEX straciła 2,23 mln dolarów w wyniku eksploitu 9 listopada, po tym jak luka w systemie księgowym pozwoliła atakującemu zawyżyć zarejestrowane saldo nowo utworzonego konta i wypłacić środki, których konto faktycznie nie posiadało. Giełda poinformowała, że pokryła cały brakujący summaries z funduszy własnych oraz że salda, pozycje ani zlecenia innych użytkowników nie zostały naruszone.

Według Coin Bureau, który ujawnił incydent w poście na X, luka pozwoliła atakującemu sprawić, że konto pozornie posiadało znacznie większe środki niż jego rzeczywiste aktywa. Rozbieżność w systemie księgowym platformy umożliwiła atakującemu wypłatę środków, których konto nie było właścicielem, co doprowadziło do straty w wysokości 2,23 mln dolarów.

Limit szybkości mostu zablokował dodatkową próbę wypłaty 3 mln dolarów

Incydent mógł zakończyć się większą stratą. Atakujący próbował wypłacić dodatkowe 3 mln dolarów, jednak limit szybkości mostu on-chain uniemożliwił przetworzenie tych wypłat, blokując środki, zanim mogły opuścić most. Limity szybkości na mostach mają ograniczać wartość, jaka może przepłynąć przez nie w danym okresie — to zabezpieczenie ma na celu ograniczenie wypływów podczas eksploitu. Łącznie z już pozyskanymi środkami atakujący dążył do około 5,23 mln dolarów, przy czym limit szybkości odciął ponad połowę tej kwoty.

Źródło nie podało dalszych szczegółów dotyczących konkretnego mechanizmu użycego do manipulacji saldem konta ani technicznej przyczyny błędu księgowego.

Arcus naprawił lukę w ciągu 90 minut

Arcus wykrył i usunął lukę w ciągu około 90 minut od eksploitu. W ramach reakcji platforma zablokowała adresy powiązane z atakującym i czasowo wstrzymała wypłaty.

Działania te nastąpiły po wykryciu nieautoryzowanych wypłat i miały na celu opanowanie incydentu, podczas gdy Arcus usuwał błąd księgowy i ograniczał aktywność atakującego.

Fundusze własne pokrywają cały brak 2,23 mln dolarów

Arcus poinformował, że uzupełnił cały brak 2,23 mln dolarów z funduszy własnych oraz podkreślił, że incydent nie wpłynął na salda, pozycje ani zlecenia innych użytkowników. Oświadczenie platformy wskazuje, że exploit ograniczył się do środków zabranych przez atakującego i nie objął zarejestrowanych zasobów ani pozycji handlowych innych użytkowników.

Działania naprawcze trwają. Skradzione środki są śledzone on-chain, a Arcus współpracuje ze śledczymi ds. blockchaina i organami ścigania w celu ich odzyskania. Nie podano dalszych szczegółów dotyczących procesu odzyskiwania ani tożsamości atakującego.

Źródło: Hokanews