В протоколе Arkadiko в сети Stacks один кошелёк единолично провёл предложение № 12, подключившее вредоносный контракт к системе управления. Через несколько минут после завершения голосования контракт вывел из общих хранилищ 2,065 млн stSTX и 1,6522 sBTC и позволил выпустить необеспеченные USDA. По расчёту Bitquery на основе транзакций, Arkadiko потеряла около $1,09 млн. Сама команда подтвердила вывод большей части залога и отвязку стейблкоина USDA от доллара, но пока не назвала окончательную сумму ущерба.

Для подачи предложения злоумышленнику сначала понадобилось лишь 0,25% учитываемых токенов DIKO — Bitquery оценила эту покупку примерно в $700. Проект предложения оставался в открытом виде больше четырёх суток. Уже 22 октября кошелёк докупил DIKO примерно на $51 тысячу, через три минуты отдал все 4,57 млн голосов самому себе и превысил пятипроцентный кворум; против не проголосовал никто. Примерно через час тот же кошелёк завершил голосование и за пять минут забрал залог.

Штатные правила управления проверяли число токенов и результат голосования, но не смысл подключаемого кода. Вредоносный контракт получил функции с безобидными названиями — для получения накопленной доходности и расчёта бюджета комиссий, — однако обе разрешали любому вызывающему адресу выводить произвольные активы или выпускать USDA. Злоумышленник создал 1,5 млрд USDA; команда позднее сожгла более 99% оставшихся у него токенов, но 1,338 млн USDA уже были обменены на 540 403 STX из пула ликвидности.

Атака затронула приложение, а не саму сеть Stacks. Arkadiko отключила вредоносный контракт, остановила управление, погашения и ликвидации хранилищ; пользователи с залогом в stSTX и sBTC пока не могут изменить позиции. Обменник и хранилища с обычным STX остались в работе, а порядок компенсации не объявлен. Разбор Bitquery дополнительно связал финансирование атаки с двумя захватами управления StackSwap: вместе из двух приложений вывели около $1,16 млн, причём 77% STX, потраченных на голоса Arkadiko, пришли из предыдущего вывода средств StackSwap.