Децентрализованная биржа Arcus DEX 9 ноября потеряла $2,23 млн в результате эксплойта: уязвимость в учётной системе позволила атакующему завысить зафиксированный баланс недавно созданного аккаунта и вывести средства, которых на нём фактически не было. Биржа сообщила, что полностью покрыла недостачу из своего казначейства и что балансы, позиции и ордера других пользователей не пострадали.

Согласно Coin Bureau, который сообщил об инциденте в посте в X, уязвимость позволила эксплойтеру сделать так, что аккаунт выглядел держателем значительно больших средств, чем его фактические активы. Расхождение в учётной системе платформы дало атакующему возможность вывести деньги, которыми аккаунт не владел, что привело к потере $2,23 млн.

Ончейн-лимит скорости моста заблокировал попытку вывода ещё $3 млн

Инцидент мог привести к большему ущербу. Эксплойтер попытался вывести дополнительно $3 млн, однако ончейн-лимит скорости моста не позволил обработать эти выплаты, заблокировав средства до их вывода через мост. Лимиты скорости на мостах предназначены для ограничения объёма стоимости, который может пройти через них за определённый период, — это мера защиты, призванная ограничить отток средств во время эксплойта. С учётом уже похищенных средств эксплойтер стремился получить в общей сложности около $5,23 млн, при этом лимит скорости отсёк более половины этой суммы.

В исходном отчёте не приводится дополнительных деталей о конкретном механизме манипуляции балансом аккаунта или технической причине ошибки учёта.

Arcus устранила уязвимость в течение 90 минут

Arcus обнаружила и устранила уязвимость в течение примерно 90 минут после эксплойта. В рамках реагирования платформа заблокировала адреса, связанные с эксплойтером, и временно приостановила вывод средств.

Эти меры последовали за обнаружением несанкционированных выводов и были направлены на локализацию инцидента, пока Arcus устраняла ошибку учёта и ограничивала активность атакующего.

Казначейство покрывает всю недостачу в $2,23 млн

Arcus сообщила, что впоследствии полностью восполнила недостачу в $2,23 млн из средств своего казначейства и подтвердила, что инцидент не затронул балансы, позиции и ордера других пользователей. Заявление платформы указывает, что эксплойт ограничился средствами, похищенными атакующим, и не распространился на зафиксированные остатки или торговые позиции других пользователей.

Работа по возврату средств продолжается. Похищенные средства отслеживаются ончейн, а Arcus координирует действия с блокчейн-аналитиками и правоохранительными органами для их возврата. Дополнительных подробностей о процессе возврата или личности эксплойтера не было предоставлено.

Источник: Hokanews