Arcus 子账户记账漏洞导致 2,234,391 USDG 被提走
Arcus 称，一个新建账户通过在自己的子账户之间转账抬高账面余额，提走 2,234,391 USDG。跨链桥拦下另约 300 万美元的提现申请，随后撤销。Arcus 用公司金库填补缺口。
- 披露时间
- 2026年11月10日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- Arcus 交易所子账户转账记账。Arcus 报告一个利用漏洞的账户，称用户余额未受影响。
- DeFi · Arcus · accounting
- 在野利用
- 已发现
- Arcus 确认未经授权提现，并称已部署记账修复。
发生了什么
Arcus 将事件归因于同一用户在自己子账户之间转账时的记账错误。公司未公开具体触发条件，也未发布用户侧补丁。2,234,391 USDG 已付出，另约 300 万美元仅为申请。公司金库填补了缺口，提走的资金仍在追踪。Arcus 称交易及提现已正常运行，其他用户的余额、仓位和订单未受影响。
案发时间线
2026年11月10日
新建账户利用子账户转账
Arcus 将开始时间记为美国东部时间 11 月 9 日约 22:07（11 月 10 日 03:07 UTC）。
11月10日 04:07 UTC
Arcus 暂停提现
跨链桥已限制进一步付款。
11月10日 04:37 UTC
Arcus 部署修复
团队随后封禁攻击者地址。
11月10日 09:26 UTC
Arcus 恢复提现
团队于 10:02 UTC 撤销被拦截的提现请求。
2026年11月10日
Arcus 披露事件并填补缺口
Arcus 表示已动用公司金库，并在追踪提走的资金。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Arcus Labs 事件报告一手来源确认记账路径、提走的资金、被拦截的申请、恢复及最初地址。