Eksploatacja Arkadiko Finance: Jak atak na zarządzanie DAO wykradł 1,09 mln dolarów?

Eksploatacja Arkadiko Finance 22 października 2026 roku ujawniła poważną słabość w zdecentralizowanym zarządzaniu po tym, jak napastnik zmanipulował głosowanie DAO aby zdobyć kontrolę nad krytycznymi funkcjami protokołu.

Incydent spowodował straty w wysokości około 1,09 miliona dolarów, kradzież stSTX i sBTC jako zabezpieczenia oraz gwałtowny spadek wartości stablecoina USDA. W przeciwieństwie do konwencjonalnych ataków na inteligentne kontrakty, napastnik wykorzystał legalny proces zarządzania Arkadiko, aby autoryzować złośliwy kod.

Zbadamy, jak przebiegał atak, dlaczego istniejące zabezpieczenia zawiodły, i co incydent oznacza dla bezpieczeństwa i odzyskiwania w DeFi.

Kluczowe informacje

• Eksploatacja Arkadiko Finance miała miejsce 22 października 2026 roku, kiedy napastnik wykorzystał Propozycję 12, aby autoryzować złośliwy kontrakt i wyprowadzić około 1,09 miliona dolarów w aktywach.
• Napastnik kontrolował 4,57 miliona głosów w sprawie DIKO, wycofał zabezpieczenia stSTX i sBTC oraz wyemitował około 1,5 miliarda niewspieranych tokenów USDA, co spowodowało depeg stablecoina.
• Arkadiko następnie wyłączyło złośliwy kontrakt, uzupełniło zabezpieczenia dotkniętych skarbca oraz przywróciło legalne operacje skarbca, ale te działania nie zapewniły pełnego odzyskania finansowego ani nie przywróciły peg USDA.

Co się stało w eksploatacji Arkadiko Finance?

(źródło obrazu: bitquery.com)

Hakerstwo kryptowalutowe Arkadiko było przejęciem zarządzania, które miało na celu Arkadiko Finance, zdecentralizowany protokół pożyczkowy i stablecoin działający na Stacks, sieci blockchain połączonej z Bitcoinem.

Arkadiko pozwala użytkownikom na deponowanie kryptowalut w zabezpieczonych skarbcach i pożyczanie USDA, jego stablecoina powiązanego z dolarem. Token DIKO zapewnia prawa głosu, pozwalając posiadaczom na zatwierdzanie propozycji, które modyfikują operacje protokołu.

22 października napastnik wykorzystał ten system podejmowania decyzji, przesyłając Propozycję 12, która wprowadziła złośliwy kontrakt operacji skarbca. Zatwierdzony kontrakt zawierał funkcje zdolne do transferu zabezpieczeń i emisji USDA bez odpowiedniej autoryzacji wywołującego.

Śledztwa na blockchainie przeprowadzone przez Bitquery i BlockintAI zidentyfikowały incydent jako atak na zarządzanie, a nie jako naruszenie konsensusu blockchaina Stacks. Napastnik nie musiał kraść prywatnego klucza administratora. Zamiast tego mechanizm zarządzania sam grantował złośliwemu kontraktowi władzę nad wrażliwymi operacjami protokołu.

Jak działał atak na zarządzanie Arkadiko?

Eksploatacja zarządzania Arkadiko rozwijała się przez kilka dni, zaczynając od pozornie legalnej propozycji aktualizacji protokołu i kończąc na szybkim wycofaniu zabezpieczeń.

1. Złożono Złośliwą Propozycję

17 października 2026 roku portfel kontrolowany przez napastnika złożył Propozycję 12, zatytułowaną "AIP 32 - Aktualizacja Operacji Skarbców dla Dystrybucji Nagród." Propozycja wydawała się opisywać rutynową poprawę dystrybucji nagród.

Jednak towarzyszący kontrakt, nazwany arkadiko-vaults-operations-v2-1, wprowadził funkcje, które mogły przenosić zabezpieczenia skarbca i tworzyć USDA bez odpowiednich ograniczeń dostępu. Propozycja dążyła do zarejestrowania tego kontraktu jako autoryzowanego składnika operacji skarbców Arkadiko.

2. Napastnik Nabył Siłę Głosowania DIKO

Zasady zarządzania Arkadiko wymagały wystarczającego uczestnictwa DIKO do zatwierdzenia propozycji. Zgodnie z badaniami on-chain, napastnik zgromadził około 4 573 197 DIKO, w tym około 3,39 miliona DIKO zakupionych tuż przed głosowaniem.

Bitquery oszacowało, że zakupy tokenów do głosowania kosztowały około 51 000 dolarów. Napastnik oddał głosy 22 października. Nie odnotowano przeciwnych głosów, co pozwoliło propozycji spełnić wymagane warunki zatwierdzenia.

3. Propozycja 12 Przyznała Kontrolę nad Skarbcami

Około godziny 16:04 UTC 22 października propozycja została wykonana. Proces zarządzania zarejestrował złośliwy kontrakt jako autoryzowany składnik operacji skarbców.

Kluczowe znaczenie miało to, że system nie nałożył osobnego okresu oczekiwania między udaną realizacją zarządzania a nową władzą kontraktu. Oznaczało to, że napastnik mógł natychmiast wykorzystać funkcje zatwierdzone poprzez głosowanie DAO.

4. Napastnik Wycofał Zabezpieczenia i Wyemitował USDA

W ciągu kilku minut od wykonania, napastnik użył złośliwego kontraktu do wycofania zabezpieczeń i emisji niewspieranego USDA. Śledztwa on-chain zidentyfikowały wycofania około 2,07 miliona stSTX i 1,65 sBTC z puli skarbców.

Napastnik wyemitował także około 1,5 miliarda USDA w wyniku nieautoryzowanej emisji. Część tych nowo utworzonych tokenów została wymieniona na inne aktywa, co pozwoliło na wydobycie dodatkowej wartości z pul płynności Arkadiko.

5. Sk stolenie Aktywa Zostały Przemieszczone Między Sieciami

Po eksploatacji napastnik przekształcił i przeniósł aktywa przez wiele sieci blockchain. Bitquery prześledziło związane transfery obejmujące STX, Bitcoin, USDCx, Ethereum i Tornado Cash.

Jego śledztwo zidentyfikowało około 4,86 BTC przeniesione do Bitcoin i około 213,3 ETH, które następnie zostały zdeponowane w Tornado Cash. Transakcje te ilustrują, jak transfery międzysieciowe i konwersje aktywów mogą skomplikować wysiłki na rzecz śledzenia i odzyskiwania skradzionej kryptowaluty.

Ile stracono w eksploatacji Arkadiko?

Bitquery oszacowało, że eksploatacja Arkadiko Finance spowodowała około 1,09 miliona dolarów strat, mierzone przy użyciu wycen aktywów w czasach incydentu. Szacowane straty były rozłożone na wycofania zabezpieczeń i transakcje w pulach płynności.

Napastnik wyemitował także około 1,5 miliarda USDA, ale ta kwota nie powinna być interpretowana jako 1,5 miliarda dolarów skradzionych funduszy. Większość nieautoryzowanej podaży USDA została następnie spalona, zanim mogła krążyć.

Obliczenia dotyczące strat ekonomicznych zamiast tego obejmują rzeczywiste zabezpieczenie oraz aktywa wyciągnięte przez wymiany. Szersza szacowana kwota w wysokości 1,16 miliona dolarów pojawiająca się w niektórych dochodzeniach obejmuje powiązane incydenty StackSwap, które muszą być odróżnione od bezpośrednich strat Arkadiko.

Dlaczego USDA straciło swoją powiązanie z dolarem?

USDA straciło swoją powiązanie z dolarem, ponieważ wykorzystanie uszkodziło zarówno zabezpieczenie, jak i zaufanie do mechanizmów wykupu. USDA jest zaprojektowane tak, aby utrzymać wartość bliską 1 dolarowi poprzez zabezpieczone pożyczki oraz zachęty do wykupu.

W normalnych warunkach użytkownicy mogą wymieniać USDA za pośrednictwem mechanizmu wykupu protokołu na wartość zabezpieczenia, co pomaga poprawić odchylenia rynkowe. Atak na zarządzanie zakłócił tę relację na dwa sposoby.

Po pierwsze, atakujący usunął znaczną ilość zabezpieczenia z systemu skarbca. Po drugie, nieautoryzowane wydanie USDA zwiększyło liczbę tokenów potencjalnie konkurujących o dostępną płynność. Atakujący sprzedał część nowo wybitych USDA, zwiększając presję sprzedażową.

Bitquery zgłosił, że niektóre sprzedaże USDA związane z atakującym miały miejsce w przybliżeniu po 0,13 dolara za token w trakcie incydentu. Chociaż Arkadiko później spaliło więcej niż 99% nieautoryzowanego wydania, spalenie tokenów nie spowodowało automatycznego zwrotu skradzionego zabezpieczenia ani przywrócenia normalnej funkcjonalności wykupu.

Zatem załamanie ceny USDA odzwierciedlało kryzys zaufania i zabezpieczeń, a nie tylko zwykłą zmienność kryptowalut.

Plany odzyskiwania Arkadiko Finance i przywracanie kontroli nad skarbcem

(źródło obrazu: daemontechnologies.co)

Początkowa reakcja Arkadiko skupiła się na powstrzymaniu dalszej nieautoryzowanej działalności i rozwiązaniu niedoboru zabezpieczenia. Po ataku zespół poinformował o dezaktywacji złośliwego kontraktu, wstrzymaniu zarządzania i zawieszeniu wykupów oraz likwidacji.

Protokół również poinformował o skontaktowaniu się z giełdami w sprawie potencjalnie skradzionych funduszy oraz o dążeniu do uzyskania pomocy ze strony organów ścigania.

Uzupełnienie zabezpieczenia i dostęp do skarbca

W swojej aktualizacji z 25 października Arkadiko poinformowało, że dodatkowe zabezpieczenie zostało wpłacone do dotkniętych kontraktów skarbców. Zgodnie z tą aktualizacją, skarbcowe miały wystarczające zabezpieczenie na wypłaty, a użytkownicy mogli spłacić zaległe długi.

Jednakże wykupy USDA pozostały wstrzymane, a zespół zgłosił, że handel USDA odbywał się wówczas w pobliżu 0,30 dolara. Ta różnica ma znaczenie, ponieważ uzupełnianie zabezpieczenia skarbca przy użyciu zasobów protokołu nie oznacza automatycznie, że napastnik zwrócił skradzione aktywa.

Propozycja 14 przywróciła legalne operacje skarbca

27 października 2026 roku zarządzanie Arkadiko wykonało Propozycję 14, zatytułowaną "AIP 32.2 - Przywrócenie operacji skarbca." Propozycja przywróciła legalny arkadiko-vaults-operations-v1-3 kontrakt jako upoważniony komponent operacji skarbcowych.

Ta decyzja zarządu unieważniła rejestrację złośliwego kontraktu wprowadzonego poprzez Propozycję 12. Niemniej jednak, przywrócenie kontroli nad kontraktem nie ustanowiło niezależnie, że USDA odzyskało swoje powiązanie ani że każdy dotknięty uczestnik otrzymał odszkodowanie.

Na dzień 3 listopada publicznie sprawdzone informacje nie potwierdziły całkowitego odzyskania skradzionych aktywów ani pełnej normalizacji wykupów USDA.

Czy Moduł Bezpieczeństwa Arkadiko może pokryć straty?

Dokumentacja Arkadiko opisuje Moduł Bezpieczeństwa, który ma na celu zapewnienie ograniczonej ochrony przed złym długiem protokołu. Zgodnie z jego udokumentowanym projektem, do 30% tokenów DIKO stakowanych w module może być wykorzystanych do pokrycia kwalifikujących się strat poprzez działania zatwierdzone przez zarząd.

Jednak istnienie tego mechanizmu nie gwarantuje odszkodowania. To, czy może zostać aktywowany, ile wartości może zapewnić oraz czy zarząd zatwierdzi jego użycie w tym incydencie wymaga oddzielnego potwierdzenia.

Jak wykorzystanie wpłynęło na TVL Arkadiko i ekosystem Stacks?

Atak spowodował dramatyczny spadek całkowitej wartości zablokowanej Arkadiko, czyli TVL, która mierzy aktywa trzymane w smart kontraktach protokołu DeFi. Zgodnie z danymi historycznymi DefiLlama, TVL Arkadiko spadło z około 1,43 miliona dolarów 22 października do 141 585 dolarów 23 października, co stanowi spadek o około 90%.

Do 25 października śledzona wartość spadła do około 131 714 dolarów. Chociaż późniejsze uzupełnienie zabezpieczenia zwiększyło raportowane TVL, te zmiany same w sobie nie pokazują pełnego odzyskania zaufania użytkowników ani funkcjonalności protokołu.

Związek między Arkadiko a StackSwap

Śledczy zidentyfikowali również powiązany atak na zarządzanie przeciwko StackSwap, innemu zdecentralizowanemu rynkowi działającemu na Stacks. Incydent StackSwap miał miejsce wcześniej, gdzie portfele powiązane z atakującym użyły zwodniczej propozycji aktualizacji, aby zdobyć kontrolę nad operacjami płynnościowymi.

Bitquery oszacował około 70 500 dolarów w połączonych stratach z dwóch przejęć zarządzania StackSwap. Jedno przejęcie było powiązane przez finansowanie portfela oraz transfery aktywów do późniejszego ataku na Arkadiko.

Śledczy nie ustalili, że każdy portfel zaangażowany w oddzielne incydenty StackSwap należał do tego samego atakującego. Te incydenty ujawniły słabości w indywidualnych systemach zarządzania aplikacjami, a nie wykazały kompromitacji podstawowej sieci Stacks.

Co ujawnia wykorzystanie Arkadiko o bezpieczeństwie zarządzania DAO?

Eksploatacja Arkadiko Finance pokazuje, że zdecentralizowane głosowanie nie gwarantuje automatycznie bezpiecznego podejmowania decyzji. Propozycja zarządu może spełniać techniczne wymagania głosowania, jednocześnie autoryzując szkodliwe zachowanie inteligentnych kontraktów. Kilka słabości przyczyniło się do tego incydentu:

• Skoncentrowana siła głosowania: Atakujący zdobył wystarczającą ilość DIKO, aby przegłosować istotną propozycję bez znaczącego oporu.
• Ograniczona uczestnictwo w głosowaniu: Żadne przeciwne głosy nie zakwestionowały Propozycji 12 przed jej realizacją.
• Niewystarczające zabezpieczenia kontraktowe: Zatwierdzony kontrakt zawierał funkcje pozbawione odpowiedniego upoważnienia do wywołania.
• Brak oddzielnego opóźnienia wykonania: Atakujący mógł użyć nowo autoryzowanego kontraktu natychmiast po wykonaniu propozycji.
• Słaba rewizja zarządzania: Propozycja przedstawiona jako rutynowa aktualizacja wprowadziła wyjątkowo wrażliwe zmiany w zarządzaniu aktywami i uprawnieniach do mintingu.

Dla protokołów DeFi, możliwe zabezpieczenia obejmują historyczne zrzuty mocy głosowania, blokady czasowe, niezależne przeglądy propozycji, ograniczone uprawnienia kontraktów oraz aktywne monitorowanie zarządzania.

Te kontrole redukują konkretne możliwości ataku, ale nie mogą wyeliminować każdej potencjalnej podatności. Dla użytkowników ocena bezpieczeństwa projektu DeFi oznacza również ocenę koncentracji zarządzania, procedur aktualizacji, warunków płynności oraz możliwości reakcji na incydenty, a nie poleganie wyłącznie na audytach inteligentnych kontraktów.

Wniosek

Eksploit Arkadiko Finance ilustruje, jak legitymny system głosowania DAO może stać się wektorem ataku, gdy władza zarządzająca jest niewystarczająco ograniczona. Incydent z 22 października spowodował straty wynoszące około 1,09 miliona dolarów, zakłócił powiązanie USD z dolarem oraz ujawnił słabości w autoryzacji kontraktów i uczestnictwie w zarządzaniu.

Działania Arkadiko przywróciły legitymację kontroli nad skarbcem i uzupełniły dotknięte zabezpieczenie, ale odzyskanie kontraktów i odzyskanie finansowe to odrębne wyniki.

Przed interakcją z Arkadiko lub podobnymi protokołami DeFi, użytkownicy powinni zweryfikować bieżącą dostępność wymiany, płynność stablecoinów, zabezpieczenia zarządzania oraz oficjalne ogłoszenia dotyczące odzyskiwania.

Czytelnicy zainteresowani monitorowaniem rynków kryptowalut mogą zbadać Bitrue Exchange, podczas gdy dodatkowe aktualizacje dotyczące bezpieczeństwa blockchain i zasoby edukacyjne są dostępne za pośrednictwem Bitrue Blog.

FAQ

Co spowodowało exploit Arkadiko Finance?

Eksploit Arkadiko Finance został spowodowany przez atakującego wykorzystującego zarządzanie DAO do autoryzacji złośliwego kontraktu operacji skarbcowych. Propozycja 12 przeszła z głosami DIKO kontrolowanymi przez atakującego i przyznała kontraktowi dostęp do funkcji zarządzania zabezpieczeniami i mintingu USDA.

Ile kryptowaluty zostało skradzione z Arkadiko?

Bitquery oszacował, że podczas incydentu z 22 października 2026 r. utracono około 1,09 miliona dolarów w aktywach. Dotknięte aktywa obejmowały stSTX, sBTC oraz STX uzyskane w wyniku swapów z nieautoryzowaną emisją USDA.

Dlaczego USDA straciło swoje powiązanie po haku Arkadiko?

USDA straciło swoje powiązanie po tym, jak atakujący wypłacił wspierające zabezpieczenia i wyemitował dużą ilość niepopartych tokenów. Powstała presja sprzedażowa, upośledzona funkcjonalność wymiany oraz niepewność dotycząca dostępności zabezpieczeń podważyły zaufanie rynku.

Czy głosowanie zarządu Arkadiko przywróciło kontrolę nad skarbcem?

Tak. 27 października 2026 r. Propozycja 14 przywróciła legitymację kontraktu operacji skarbcowych Arkadiko. Jednak ta zmiana w zarządzaniu sama w sobie nie odzyskała skradzionych aktywów ani nie zagwarantowała, że wymiany USDA i wyceny powróciły do normy.

Czy Arkadiko Finance w pełni odzyskało się z exploitu?

Pełne odzyskanie nie zostało niezależnie ustalone na dzień 3 listopada 2026 roku. Arkadiko zgłosiło uzupełnienie zabezpieczeń skarbcowych i przywrócenie legitymacji kontroli nad kontraktem, ale pełne odzyskanie skradzionych aktywów, przywrócenie powiązania USDA i kompleksowe odszkodowania pozostały nierozwiązane lub niewystarczająco zweryfikowane.

Zastrzeżenie: Opinie wyrażone należą wyłącznie do autora i nie odzwierciedlają poglądów tej platformy. Ta platforma i jej stowarzyszenia zrzekają się jakiejkolwiek odpowiedzialności za dokładność lub stosowność dostarczonych informacji. Jest to tylko w celach informacyjnych i nie jest przeznaczone jako porada finansowa lub inwestycyjna.