3 分钟失血 223 万：Arcus 跨链桥限额拦截 300 万后续攻击

据 Woofun AI 消息，建立在 之上的永续合约交易平台 遭遇一起严重的记账漏洞攻击，导致约 223.44 万美元的 被非法提取。该事件由新注册账户利用子账户转账缺陷触发，虽未波及普通用户资产，但暴露了平台在测试阶段的风控隐患。Arcus 由 团队与 合作打造，后者担任战略投资者。平台创始人兼首席执行官张 Eddie 此前创立社交交易应用 ，并于 2025 年 7 月被 Labs 收购，随后张 Eddie 出任 dYdX 总裁。dYdX 创始人安东尼奥·朱利亚诺亦加入 Arcus 董事会，但该平台并非 dYdX 的重新品牌包装， 仍独立运行。

攻防时间线显示，11 月 9 日美国东部时间晚 10 点 07 分，攻击者利用子账户记账缺陷发动攻击。在接下来的 3 分钟内，风险控制系统未能实时识别余额操纵，致使 223.44 万美元 USDG 被成功提取。晚 10 点 10 分，跨链桥的自动限额机制被触发，强行阻断了后续约 300 万美元的提款请求，这些请求随后被系统撤销。晚 10 点 15 分，平台监控系统发出警报，团队介入调查。晚 11 点 07 分，Arcus 紧急暂停全平台提款功能；晚 11 点 37 分，关键漏洞补丁部署完毕；晚 11 点 43 分，所有相关恶意地址被封禁。次日凌晨 4 点 26 分，提款功能恢复；当天中午 12 点 28 分，公司资金已完全弥补 223 万美元损失。这场持续 14 小时的危机，成为对系统的一次意外压力测试。

Woofun AI 整理数据显示，过去 30 天内，Arcus 的永续合约交易量高达 99.18 亿美元，现货交易量达 7442 万美元，TVL 约为 6400 万美元。

Arcus 于 2026 年 7 月在基于 的 L2 网络 Robinhood Chain 上线，提供 24/7 全天候免费现货交易服务，涵盖数字化股票、加密货币及指数商品永续合约。目前平台仍处于测试阶段，部分功能需邀请或分批开放。在资产覆盖方面，比特币和以太坊等主流加密货币占据显著份额，而 （纳斯达克 100 指数 ETF）和 （标普 500 指数 ETF）对应的合约交易活跃度也几乎相当，每种日交易量均超过 5000 万美元。

这种跨资产类别的流动性汇聚，使 Arcus 成为传统金融与加密市场间的重要桥梁，但也吸引了擅长寻找空投机会的投资者和套利资本。截至目前，平台尚未宣布推出自有 token 计划，但安东尼奥·朱利亚诺曾表示，若未来推出 Arcus token，部分供应量可能分配给 dYdX 社区。

深层归因显示，此次 223 万美元的安全事件很可能源于空投套利引发的意外副作用。Arcus 在 10 月 1 日推出积分计划后，经验丰富的用户常通过频繁在子账户间转移资金以虚增交易量，这是一种常见的'赛博身份伪造'策略。

然而，平台脆弱的记账逻辑无法抵御此类操作，导致一个原本旨在获取积分的新账户，无意中触发了相当于无限印钞的代码循环。从某种意义上说，该攻击者更像是一名未获报酬的兼职安全测试人员，用最原始的方法暴露了风控体系的漏洞。此次事件起因是内部记账逻辑缺陷导致的单个账户余额操纵，虽不同于热钱包私钥泄露或跨链桥合约漏洞等典型安全事件，但仍暴露出平台在高频转账、子账户操作及跨链桥限额管控等场景下的风控短板。官方报告指出，监控系统和限额控制机制在短时间内控制了损失规模，补丁部署后提款功能仅暂停数小时即恢复正常。对于处于测试阶段且近期快速推出积分计划及多资产抵押功能的平台而言，这是一次意外的内部压力测试。