Arcus-Perps-Exploit über Subkonten-Buchhaltung

Am 10. November 2026 verlor Arcus, eine Börse für Perpetuals und Aktien-Token auf der Robinhood Chain, rund 2,2 Millionen US-Dollar, als ein Angreifer einen Buchhaltungsfehler bei Transfers zwischen den eigenen Subkonten eines einzelnen Kontos ausnutzte, dessen Guthaben aufblähte und Mittel abhob, die er nie eingezahlt hatte.

Was geschah

Der Fehler lag darin, wie Arcus Transfers zwischen den eigenen Subkonten eines Nutzers verbuchte. Nach einem internen Subkonto-Transfer schrieb die Börse dem Konto ein Guthaben weit über seinem tatsächlichen Bestand gut; ein neu erstelltes Konto reichte dann Abhebungen gegen diese aufgeblähte Zahl ein und zog 2.234.391 USDG on-chain ab. Arcus bezeichnete die Ursache als Fehler in der eigenen Buchhaltung — nicht als Blockchain-Schwachstelle oder gestohlenen Schlüssel —, veröffentlichte jedoch weder Code noch einen vollständigen technischen Post-Mortem-Bericht. Der Exploit begann gegen 03:07 UTC am 10. November (spät am 9. November US-Ostküstenzeit), und weitere rund 3 Millionen US-Dollar an Abhebungsanträgen wurden durch das On-Chain-Ratenlimit der Bridge zurückgehalten und nie ausgezahlt. Die Sicherheitsfirma 0xCERT erfasste den Vorfall als Advisory 0xCERT-2026-0338. On-Chain-Tracker meldeten, dass die Angreiferadresse rund 1.052 ETH auf Ethereum erhielt, größtenteils über einen Relay-Router geleitet, wobei etwa 53 ETH später an THORChain gesendet wurden.

Nachwirkungen

Arcus pausierte um 04:07 UTC plattformweit alle Abhebungen, spielte gegen 04:37 UTC einen Fix ein, sperrte um 04:43 UTC die Adressen des Angreifers und gab Abhebungen bis 09:26 UTC für alle Nutzer wieder frei; die ausstehenden Abhebungen des Angreifers wurden um 10:02 UTC rückgängig gemacht. Bis 17:28 UTC hatte Arcus Labs den gesamten Fehlbetrag aus der eigenen Unternehmenskasse gedeckt — eine freiwillige Entscheidung ohne Einlagensicherung dahinter —, sodass betroffene Nutzer schadlos gehalten wurden, auch wenn die gestohlenen Mittel selbst nicht zurückgeholt wurden. Arcus veröffentlichte die erste Adresse des Angreifers, 0xeFbf442599310E5CeE1A4EDd5c66334c5f30b3Dd, damit Börsen und Dienstleister verbundene Vermögenswerte markieren konnten, und erklärte, keine anderen Nutzerguthaben, Positionen oder Orders seien betroffen gewesen.

Warum es wichtig ist

Arcus erinnert daran, dass das interne Hauptbuch einer Plattform ebenso eine Angriffsfläche ist wie ihre Smart Contracts. Der Exploit berührte keine On-Chain-Schwachstelle und stahl keinen Schlüssel; er speiste lediglich die Off-Chain-Buchhaltung der Börse mit einem falsch verarbeiteten Transfer und ließ ein Konto sich selbst Wert gutschreiben, den es nie besaß — funktional derselbe Abfluss wie der On-Chain-Fehler beim Prägen von Vault-Anteilen, der Tage zuvor ACryptoS leerte, nur auf anderem Weg erreicht. Es zeigt auch die zweischneidige Natur eines gut finanzierten, teilzentralisierten Betreibers: On-Chain-Ratenlimits begrenzten den Schaden und eine Unternehmenskasse hielt die Nutzer schadlos — ein Ergebnis, das die meisten unfinanzierten DeFi-Protokolle nicht bieten können —, doch das Fehlen eines veröffentlichten Post-Mortems lässt die genaue fehlerhafte Komponente unüberprüfbar. Für eine Perpetuals-Plattform wie Drift Protocol beruht das Vertrauen der Nutzer ebenso auf der Integrität der internen Buchhaltung wie auf der Schlüsselverwahrung.