8 ноября ошибка в хранилищах агрегатора доходности ACryptoS позволила 135 адресам вывести активы примерно на $665 429. По официальному постмортему, атаки затронули 77 из 126 хранилищ в Arbitrum, BNB Chain, Polygon, Base и Optimism. Это были уязвимые контракты ACryptoS, а не взлом перечисленных сетей или бирж ликвидности.

Хранилища держали пары токенов, но функция `depositMulti` не проверяла, что пользователь передал сумму для каждого из них. Если массив содержал только сумму первого токена, контракт оценивал через него и внесённые средства, и собственные запасы — полностью игнорируя второй актив. Небольшой депозит мог выглядеть крупнее всего хранилища, дать почти все его доли, а немедленный вывод уже выплачивал владельцу долей оба токена.

ACryptoS воспроизвела механизм на копии состояния Polygon: депозит 10 USDC получил 66,84% долей одного хранилища, после чего позволил вывести около 9,99 USDC и 48 634 USDT0. Манипуляции ценой в пуле не было; ошибка присутствовала с первого развёртывания этой семьи контрактов. Оценка ущерба использует цены примерно на 17:00 UTC 8 ноября и не включает около 19,4 тысячи токенов ACS без надёжной долларовой оценки.

Эксплуатация шла с 02:02 до 16:22 UTC. О проблеме сообщили в Telegram в 09:34, но разработчик, по данным проекта, узнал о ней только в 14:19. С 15:38 до 16:40 ACryptoS обновила 11 управляющих контрактов и закрыла депозиты во всех 126 хранилищах; вывод оставшихся активов открыт. Потери понесли прежние вкладчики: новые доли размыли их долю, после чего средства ушли при выводе.

ACryptoS не планирует исправлять и снова открывать депозиты — проект объявлен устаревшим и сворачивается, пользователям предложено вывести остатки. В обновлении от 9 ноября команда сообщила, что вернула исходное число долей одному хранилищу Base: до блокировки там успели потерять около 1 800 USDbC, ещё 6 187 USDbC доступны прежним вкладчикам пропорционально. Общего плана компенсации в постмортеме нет.