Exploit comptable des sous-comptes d'Arcus Perps

Le 10 novembre 2026, Arcus, une plateforme d'échange de perpétuels et de tokens d'actions sur Robinhood Chain, a perdu environ 2,2 millions de dollars lorsqu'un attaquant a exploité un bug comptable dans les transferts entre les sous-comptes d'un même compte, gonflant son solde pour retirer des fonds jamais déposés.

Ce qui s'est passé

La faille résidait dans la façon dont Arcus comptabilisait les transferts entre les sous-comptes d'un même utilisateur. Après un transfert interne entre sous-comptes, la plateforme créditait au compte un solde bien supérieur à ses avoirs réels ; un compte nouvellement créé a alors soumis des retraits sur la base de ce chiffre gonflé et a extrait 2 234 391 USDG on-chain. Arcus a qualifié la cause racine d'erreur de sa propre comptabilité — et non d'une faille de la blockchain ou d'une clé volée —, sans toutefois publier de code ni de rapport technique post-mortem complet. L'exploit a commencé vers 03h07 UTC le 10 novembre (tard le 9 novembre, heure de l'Est des États-Unis), et environ 3 millions de dollars supplémentaires de demandes de retrait ont été retenus par la limite de débit on-chain du pont et jamais versés. La société de sécurité 0xCERT a répertorié l'incident sous l'avis 0xCERT-2026-0338. Des traceurs on-chain ont signalé que l'adresse de l'attaquant avait reçu environ 1 052 ETH sur Ethereum, acheminés en grande partie via un routeur Relay, avec environ 53 ETH ensuite envoyés à THORChain.

Conséquences

Arcus a suspendu tous les retraits à l'échelle de la plateforme à 04h07 UTC, déployé un correctif vers 04h37 UTC, bloqué les adresses de l'attaquant à 04h43 UTC et rétabli les retraits pour tous les utilisateurs vers 09h26 UTC ; les retraits en attente de l'attaquant ont été annulés à 10h02 UTC. À 17h28 UTC, Arcus Labs avait couvert la totalité du déficit avec sa propre trésorerie d'entreprise — une décision volontaire sans aucune garantie des dépôts — laissant les utilisateurs touchés indemnes, même si les fonds volés eux-mêmes n'ont pas été récupérés. Arcus a publié l'adresse initiale de l'attaquant, 0xeFbf442599310E5CeE1A4EDd5c66334c5f30b3Dd, afin que les plateformes et prestataires puissent signaler les actifs liés, et a déclaré qu'aucun autre solde, position ou ordre d'utilisateur n'avait été affecté.

Pourquoi c'est important

Arcus rappelle que le registre interne d'une plateforme est une surface d'attaque au même titre que ses contrats intelligents. L'exploit n'a touché aucune vulnérabilité on-chain ni volé aucune clé ; il a simplement alimenté la comptabilité off-chain de la plateforme avec un transfert mal traité, permettant à un compte de se créditer lui-même d'une valeur qu'il n'a jamais détenue — fonctionnellement le même drainage que la faille on-chain de création de parts qui a vidé ACryptoS quelques jours plus tôt, atteinte par une autre voie. Cela montre aussi la nature à double tranchant d'un opérateur bien financé et semi-centralisé : les limites de débit on-chain ont contenu les dégâts et une trésorerie d'entreprise a laissé les utilisateurs indemnes, un résultat que la plupart des protocoles DeFi sans financement ne peuvent offrir — mais l'absence de post-mortem publié laisse le composant défaillant exact invérifiable. Pour une plateforme de perpétuels comme Drift Protocol, la confiance des utilisateurs repose autant sur l'intégrité de la comptabilité interne que sur la garde des clés.