Arcadia Finance Hack

Arcadia Finance — DeFi-протокол в сети Base, где пользователи управляют позициями ликвидности и берут займы через свои собственные аккаунты Arcadia. Он также предлагает дополнительные автоматизации, которые работают на отдельных контрактах и ребалансируют позиции пользователей и реинвестируют доход по ним. 15 июля 2025 года злоумышленник обнаружил, что один из этих контрактов автоматизации не проверял должным образом получаемые инструкции для обмена, и воспользовался этим, чтобы опустошить аккаунты других пользователей. За день до этого подозрительные контракты запустили автоматическую защитную паузу Arcadia. После того как команда проверила их и сняла паузу, период ожидания не позволил протоколу снова встать на паузу, когда началась настоящая атака.

Злоумышленник в две волны вывел около 3,6 млн долларов в сети Base, включая стейблкоины USDC и USDS, затем обменял средства на ETH, перевел их через мост в Ethereum и распределил по нескольким адресам. Arcadia предложила злоумышленнику вознаграждение в 10% в сообщении в блокчейне, если остальное будет возвращено в течение 24 часов, но средства так и не вернули. Arcadia заявила, что ее контракты кредитования и токенов не пострадали. Страховщик Nexus Mutual выплатил 250 тыс. долларов пользователям, купившим страховку через OpenCover, а Arcadia представила собственный план возмещения для пострадавших пользователей на основе специальных токенов возмещения.

Аккаунты Arcadia могут перемещать токены, к которым их владельцы выдали им доступ, а автоматизации действуют через эти аккаунты. Именно поэтому уязвимость позволяла добраться и до токенов, которые лежали в кошельках пользователей, а не только до средств, внесенных в Arcadia. В связи с этим Arcadia посоветовала пользователям отозвать все доступы к токенам, выданные их аккаунтам Arcadia и другим контрактам Arcadia, а также отключить все активные автоматизации. Если вы когда-либо пользовались Arcadia в сети Base, проверьте, не остались ли у вас выданные доступы, и отзовите их. Отзыв доступов защищает то, что еще осталось в вашем кошельке, но не возвращает уже украденные активы.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.