Arcadia Finance Hack

Arcadia Finance es un protocolo DeFi en Base donde los usuarios gestionan posiciones de liquidez y piden préstamos a través de sus propias Arcadia Accounts. También ofrece automatizaciones opcionales, gestionadas por contratos independientes, que reequilibran y capitalizan esas posiciones en nombre de los usuarios. El 15 de julio de 2025, un atacante descubrió que uno de estos contratos de automatización no comprobaba correctamente las instrucciones de intercambio que recibía, y lo usó para vaciar las cuentas de otros usuarios. Un día antes, unos contratos sospechosos habían activado la pausa de seguridad automática de Arcadia. Después de que el equipo los revisara y reanudara el protocolo, un periodo de espera impidió que volviera a pausarse cuando empezó el ataque real.

El atacante se llevó alrededor de 3,6 millones de dólares en Base en dos oleadas, incluidas las stablecoins USDC y USDS; después cambió los fondos por ETH, los trasladó a Ethereum a través de un puente y los repartió entre varias direcciones. Arcadia ofreció al atacante, mediante un mensaje en la cadena, una recompensa del 10 % si devolvía el resto en un plazo de 24 horas, pero los fondos no se devolvieron. Arcadia afirmó que sus contratos de préstamos y de tokens no se vieron afectados. La aseguradora Nexus Mutual pagó 250.000 dólares a los usuarios que habían contratado una cobertura a través de OpenCover, y Arcadia presentó su propio plan de recuperación para los usuarios afectados, basado en tokens de recuperación.

Las Arcadia Accounts pueden mover los tokens que sus propietarios les han aprobado, y las automatizaciones actúan sobre esas cuentas. Por eso el fallo también podía alcanzar los tokens que estaban en las carteras de los usuarios, no solo los fondos depositados en Arcadia. En consecuencia, Arcadia recomendó a los usuarios revocar todas las autorizaciones de tokens a sus Arcadia Accounts y a otros contratos de Arcadia, y desactivar cualquier automatización activa. Si alguna vez usaste Arcadia en Base, comprueba si te quedan autorizaciones y revócalas. Revocar protege lo que aún tienes en tu cartera, pero no recupera los activos que ya se robaron.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.