Arcus сообщила, что вечером 9 ноября новый аккаунт воспользовался ошибкой внутреннего учёта и вывел из протокола 2 234 391 USDG. USDG — стейблкоин, привязанный к доллару. Arcus Labs покрыла возникший дефицит из собственной казны; по утверждению проекта, балансы, позиции и заявки других пользователей не пострадали.

Ошибка возникала при переводах между субсчетами одного пользователя: система могла записать на один из них сумму, намного превышавшую реальные активы владельца. После этого злоумышленник запросил вывод уже несуществующего баланса и получил USDG в блокчейне.

Ещё примерно на $3 млн заявок на вывод остановил установленный в мосте лимит. Эти операции не попали в блокчейн и были отменены. Таким образом, размер подтверждённого вывода — 2 234 391 USDG; заблокированные заявки в эту сумму не входят.

Arcus приостановила все выводы, исправила ошибку менее чем за час и после проверки патча партнёрами по безопасности восстановила операции 10 ноября в 04:26 по восточному времени США. Проект отслеживает выведенные средства, однако на момент отчёта не сообщал об их возврате и не раскрывал полный технический разбор уязвимости.

Arcus работает как децентрализованная биржа токенизированных активов в Robinhood Chain; ранее её маршрут обмена появился в Robinhood Wallet. Инцидент показывает границу «самостоятельного хранения»: ключи пользователей могли оставаться у них, но ошибка в учёте биржи всё равно создала необеспеченный баланс. Дополнительный ущерб ограничил не способ хранения ключей, а лимит на стороне моста.