Arcus afirmó que cubrió con recursos de su tesorería el faltante causado por un retiro no autorizado de 2,234,391 USDG. Según la plataforma de intercambio, una cuenta recién creada aprovechó un error en las transferencias entre subcuentas para registrar un saldo mayor al que poseía y solicitar retiros.
El incidente ocurrió el 9 de noviembre, en horario del este de Estados Unidos. Arcus también informó que un límite automático impidió que se pagaran solicitudes adicionales por unos 3 millones de dólares. Esas solicitudes fueron revertidas y no forman parte del monto que salió de la plataforma.
USDG es una moneda digital estable diseñada para mantener una paridad con el dólar estadounidense, de acuerdo con Paxos, su emisor. La cifra de Arcus está expresada en unidades de ese activo.
De un saldo inflado a retiros reales
Arcus permite separar actividades dentro de subcuentas asociadas a una misma cartera. La plataforma explicó que, bajo ciertas condiciones, el error en las transferencias entre esas subcuentas permitió a una cuenta registrar un balance muy superior a sus fondos reales. Después se solicitaron retiros contra ese saldo.
La diferencia es relevante: el balance incorrecto era un registro interno, pero los 2,234,391 USDG sí salieron a la cadena de bloques. DeFi Prime señala que la documentación de Arcus describe las transferencias internas como movimientos que no se liquidan en la cadena. El informe del incidente no identifica la comprobación concreta que falló ni publica el cambio de código.
Según Arcus, el problema involucró una sola cuenta y no alteró los saldos, las posiciones ni las órdenes de los demás usuarios. Esa es la evaluación de la empresa; el informe no presenta una conciliación independiente de los saldos.
El límite automático actuó antes de la pausa general
La cronología de Arcus sitúa el inicio de la actividad a las 03:07 UTC del 10 de noviembre. Tres minutos después, el límite de retiros del puente de la plataforma frenó las solicitudes adicionales. El monitoreo señaló los retiros a las 03:15 UTC y el equipo comenzó a investigar.
La empresa suspendió los retiros de toda la plataforma a las 04:07 UTC y desplegó una corrección a las 04:37 UTC. Más tarde bloqueó las direcciones vinculadas con la cuenta para operar, transferir y retirar fondos. Arcus indicó que sus socios de seguridad revisaron la corrección, aunque no los identificó en el informe.
Hay una diferencia en el plazo comunicado. La introducción del informe dice que el equipo detectó y corrigió el fallo en una hora, pero la cronología muestra 82 minutos entre la alerta de monitoreo y el despliegue de la corrección. Arcus no explica cómo se concilian esos datos.
Los retiros se reanudaron a las 09:26 UTC. Las solicitudes pendientes de la cuenta fueron revertidas a las 10:02 UTC y Arcus Labs cubrió el faltante con su tesorería a las 17:28 UTC, siempre el 10 de noviembre, según la misma cronología.
Cubrir el faltante no recupera los activos retirados
Arcus publicó la dirección inicial asociada con quien hizo el retiro y pidió a plataformas de intercambio y proveedores que marcaran los fondos que recibieran desde ella. La empresa dijo que trabaja con investigadores para rastrear los activos y que coordinará con las autoridades cuando corresponda. En su informe del 10 de noviembre no indicó si había recuperado o congelado parte de lo retirado.
Por separado, The Crypto Times informó el 11 de noviembre sobre un mensaje en la cadena que proponía devolver el 90 % de los fondos a cambio de conservar el 10 %. El medio advirtió que no había confirmado que Arcus enviara la propuesta; el informe de la plataforma no la menciona.
El dinero de la tesorería, por tanto, cubre el faltante reconocido por Arcus. La recuperación de los activos retirados es un proceso distinto cuyo resultado sigue sin estar confirmado.
