Эксплуатация Arkadiko Finance: как атака на управление DAO вывела $1,09 млн?

Эксплуатация Arkadiko Finance 22 октября 2026 года открыла серьезную уязвимость в децентрализованном управлении после того, как злоумышленник манипулировал голосованием DAO для получения контроля над критически важными функциями протокола.

Инцидент привел к потерям примерно в 1.09 миллиона долларов, хищению залога stSTX и sBTC, и резкому падению стоимости стейблкоина USDA. В отличие от обычных взломов смарт-контрактов, злоумышленник использовал законный процесс управления Arkadiko для авторизации злонамеренного кода.

Мы рассмотрим, как развивалась атака, почему действующие меры безопасности оказались неэффективными и что этот инцидент означает для безопасности и восстановления DeFi.

Ключевые выводы

• Эксплуатация Arkadiko Finance произошла 22 октября 2026 года, когда злоумышленник использовал Предложение 12 для авторизации злонамеренного контракта и вывода примерно 1.09 миллиона долларов в активах.
• Злоумышленник контролировал 4.57 миллиона голосов DIKO, withdrew залог stSTX и sBTC, и выпустил примерно 1.5 миллиарда непокрытых токенов USDA, что привело к отвязке стейблкоина.
• Arkadiko впоследствии отключила злонамеренный контракт, пополнила залоговые активы и восстановила законные операции с хранилищем, но эти меры не обеспечили полного финансового восстановления или восстановления привязки USDA.

Что произошло в эксплуатации Arkadiko Finance?

(источник изображения: bitquery.com)

Взлом Arkadiko был захватом управления, направленным на Arkadiko Finance, децентрализованный протокол кредитования и стейблкоинов, работающий на Stacks, сети блокчейна, связанной с Bitcoin.

Arkadiko позволяет пользователям вносить криптовалюту в залоговые хранилища и брать в долг USDA, его стейблкоин, привязанный к доллару. Его токен DIKO предоставляет права управления, позволяя держателям одобрять предложения, изменяющие операции протокола.

22 октября злоумышленник использовал эту систему принятия решений, протолкнув Предложение 12, которое ввело контракт на злонамеренные операции с хранилищем. Одобренный контракт содержал функции, способные перемещать залог и выпускать USDA без соответствующей авторизации вызывающего.

Расследования блокчейна, проведенные Bitquery и BlockintAI, определили инцидент как атаку на управление, а не как компрометацию консенсуса блокчейна Stacks. Злоумышленнику не нужно было красть закрытый ключ администратора. Вместо этого механизм управления сам предоставил злонамеренному контракту полномочия над чувствительными операциями протокола.

Как сработала атака на управление Arkadiko?

Эксплуатация управления Arkadiko развивалась в течение нескольких дней, начиная с казавшегося законным предложения об обновлении протокола и заканчивая быстрым извлечением залога.

1. Было подано злонамеренное предложение

17 октября 2026 года кошелек, контролируемый злоумышленником, подал Предложение 12, заглавленное "AIP 32 - Обновление операций хранилищ для распределения вознаграждений." Предложение казалось описанием рутинного улучшения распределения вознаграждений.

Однако сопровождающий его контракт, названный arkadiko-vaults-operations-v2-1, вводил функции, которые могли перемещать залоговые активы и создавать USDA без адекватных ограничений доступа. Предложение стремилось зарегистрировать этот контракт как авторизованный компонент операций с хранилищем Arkadiko.

2. Злоумышленник приобрел голосующие полномочия DIKO

Правила управления Arkadiko требовали достаточного участия DIKO для одобрения предложения. Согласно ончейн расследованиям, злоумышленник накопил примерно 4,573,197 DIKO, включая около 3.39 миллиона DIKO, купленных незадолго до голосования.

Bitquery оценил, что покупка голосующих токенов обошлась примерно в 51,000 долларов. Злоумышленник проголосовал 22 октября. Противоположные голоса не были записаны, что позволило предложению удовлетворить необходимые условия для одобрения.

3. Предложение 12 предоставило контроль над хранилищем

Приблизительно в 16:04 UTC 22 октября предложение было исполнено. Процесс управления зарегистрировал злонамеренный контракт как авторизованный компонент операций с хранилищем.

Критически важным было то, что система не ввела отдельный период ожидания между успешным выполнением управления и получением контрактом новых полномочий. Это означало, что злоумышленник мог немедленно использовать функции, одобренные через голосование DAO.

4. Злоумышленник вывел залог и выпустил USDA

В течение нескольких минут после исполнения злоумышленник использовал злонамеренный контракт для вывода залога и выпуска непокрытого USDA. Оngoing расследования определили выводы примерно 2.07 миллиона stSTX и 1.65 sBTC из пула хранилища.

Злоумышленник также выпустил примерно 1.5 миллиарда USDA через несанкционированный выпуск. Часть этих вновь созданных токенов была обменена на другие активы, извлекая дополнительную цену из ликвидных пулов Arkadiko.

5. Украденные активы были перемещены через сети

После эксплуатации злоумышленник конвертировал и перевел активы через несколько блокчейн-сетей. Bitquery отследил связанные транзакции, включая STX, Bitcoin, USDCx, Ethereum и Tornado Cash.

Его расследование выявило примерно 4.86 BTC, переведенные в Bitcoin, и около 213.3 ETH, впоследствии депонированных в Tornado Cash. Эти транзакции иллюстрируют, как трансакции между сетями и конверсии активов могут осложнить усилия по отслеживанию и восстановлению украденной криптовалюты.

Сколько было потеряно в результате взлома Arkadiko?

Bitquery оценил, что эксплуатация Arkadiko Finance привела к потерям примерно в 1.09 миллиона долларов, измеренным с использованием оценок активов в момент инцидента. Оцененные потери были распределены между выводами залога и транзакциями ликвидных пулов.

Злоумышленник также выпустил примерно 1.5 миллиарда USDA, но эта цифра не должна интерпретироваться как 1.5 миллиарда долларов украденных средств. Большая часть несанкционированного предложения USDA была впоследствии сожжена, прежде чем она могла циркулировать.

Расчет экономических потерь вместо этого включает фактическое обеспечение, взятое в залог, и активы, извлеченные через свопы. Более широкая оценка в $1,16 миллиона, которую можно увидеть в некоторых расследованиях, включает связанные инциденты StackSwap, которые необходимо отличать от прямых потерь Arkadiko.

Почему USDA потеряла привязку к доллару?

USDA потеряла свою привязку к доллару, потому что взлом разрушил как поддержку его обеспечения, так и уверенность в механизмах его выкупа. USDA предназначена для поддержания значения около $1 за счет залогового заимствования и стимулов к выкупу.

При нормальных условиях пользователи могут обменивать USDA через механизм выкупа протокола на значение обеспечения, что помогает исправить рыночные отклонения. Атака на управление нарушила это соотношение двумя способами.

Во-первых, злоумышленник удалил значительное обеспечение из системы хранилищ. Во-вторых, несанкционированная эмиссия USDA увеличила количество токенов, которые потенциально могли конкурировать за доступную ликвидность. Злоумышленник продал часть вновь созданной USDA, увеличив давление на продажу.

Bitquery сообщила, что некоторые продажи USDA, связанные с атакой, произошли по цене примерно $0,13 за токен во время инцидента. Хотя Arkadiko позже сожгла более 99% несанкционированной эмиссии, сжигание токенов не вернуло автоматически украденные активы или восстановило нормальные функции выкупа.

Таким образом, падение цены USDA отразило кризис доверия и обеспечения, а не просто привычную волатильность криптовалюты.

Планы восстановления Arkadiko Finance и восстановление контроля хранилищ

(источник изображения: daemontechnologies.co)

Первоначальный ответ Arkadiko сосредоточился на прекращении дальнейшей несанкционированной деятельности и решении проблемы нехватки обеспечения. После взлома команда сообщила о деактивации вредоносного контракта, приостановке управления и приостановлении выкупов и ликвидаций.

Протокол также сообщил о связи с биржами относительно потенциально украденных средств и о поиске помощи правоохранительных органов.

Пополнение обеспечения и доступ к хранилищам

В своем обновлении 25 октября Arkadiko заявило, что дополнительное обеспечение было внесено в затронутые контракты хранилищ. Согласно этому обновлению, в хранилищах было достаточно обеспечения для вывода, и пользователи могли погасить задолженность.

Тем не менее, выкупы USDA оставались приостановленными, и команда отчиталась, что USDA торговалась около $0,30 в то время. Это разграничение имеет значение, потому что пополнение обеспечения хранилищ с использованием ресурсов протокола не обязательно означает, что злоумышленник вернул украденные активы.

Предложение 14 восстановило законные операции хранилищ

27 октября 2026 года управление Arkadiko реализовало Предложение 14, озаглавленное "AIP 32.2 - Восстановление операций хранилищ." Предложение восстановило легальный arkadiko-vaults-operations-v1-3 контракт как уполномоченный компонент операций хранилищ.

Это решение управления аннулировало регистрацию вредоносного контракта, введенного через Предложение 12. Тем не менее, восстановление контроля над контрактом само по себе не подтвердило, что USDA восстановила свою привязку или что каждый затронутый участник получил компенсацию.

По состоянию на 3 ноября, публично доступная информация не подтвердила полного восстановления украденных активов или полной нормализации выкупов USDA.

Может ли Модуль Безопасности Arkadiko покрыть убытки?

Документация Arkadiko описывает Модуль Безопасности, предназначенный для предоставления ограниченной защиты от плохого долга протокола. Согласно его документированному дизайну, до 30% токенов DIKO, ставленных в модуль, могут быть использованы для покрытия соответствующих убытков через действия, одобренные управлением.

Тем не менее, существование этого механизма не гарантирует компенсацию. Необходимо отдельное подтверждение того, может ли он быть активирован, какую ценность он может предоставить и одобрит ли управление его использование в этом инциденте.

Как взлом повлиял на TVL Arkadiko и экосистему Stacks?

Атака привела к резкому снижению общего заблокированного значения Arkadiko или TVL, который измеряет активы, удерживаемые внутри умных контрактов DeFi-протокола. Согласно историческим данным DefiLlama, TVL Arkadiko снизился с приблизительно $1,43 миллиона 22 октября до $141,585 23 октября, что составляет снижение примерно на 90%.

К 25 октября отслеживаемая стоимость упала до приблизительно $131,714. Хотя последующее пополнение обеспечения увеличило заявленный TVL, эти изменения сами по себе не показывают полного восстановления доверия пользователей или функциональности протокола.

Связь между Arkadiko и StackSwap

Расследователи также выявили связанный нападение на управление против StackSwap, другой децентрализованной биржи, работающей на Stacks. Инцидент StackSwap произошел ранее, когда кошельки, связанные со злоумышленником, использовали обманчивое предложение об обновлении, чтобы получить контроль над операциями ликвидных пулов.

Bitquery оценил приблизительно $70,500 в совокупных убытках от двух захватов управления StackSwap. Один захват был связан через финансирование кошелька и трансферы активов с последующей атакой на Arkadiko.

Расследователи не установили, что каждый кошелек, участвовавший в отдельных инцидентах StackSwap, принадлежал одному и тому же злоумышленнику. Эти инциденты раскрыли слабости в системах управления отдельных приложений, а не продемонстрировали компрометацию основной сети Stacks.

Что раскрывает взлом Arkadiko о безопасности управления DAO?

Взлом Arkadiko Finance демонстрирует, что децентрализованное голосование не гарантирует автоматическую безопасность принятия решений. Предложение по управлению может удовлетворять техническим требованиям голосования, в то же время разрешая вредоносное поведение смарт-контрактов. Несколько слабостей способствовали этому инциденту:

• Сосредоточенная голосовательная сила: Злоумышленник приобрел достаточное количество DIKO, чтобы пройти значительное предложение без реального сопротивления.
• Ограниченное участие в голосовании: Нет голосов против, оспаривающих Предложение 12 перед его выполнением.
• Недостаточные защитные меры для контрактов: Утвержденный контракт содержал функции, которым не хватает соответствующей авторизации вызывающего.
• Нет отдельной задержки исполнения: Злоумышленник мог немедленно использовать вновь уполномоченный контракт после выполнения предложения.
• Слабая оценка управления: Предложение, представленное в качестве рутинного обновления, внесло высокочувствительные изменения в управление активами и разрешения на чеканку.

Для протоколов DeFi возможные меры безопасности включают исторические снимки голосующей силы, временные блокировки, независимые обзоры предложений, ограниченные разрешения контрактов и активный мониторинг управления.

Эти меры снижают определённые возможности для атак, но не могут устранить каждую потенциальную уязвимость. Для пользователей оценка безопасности проекта DeFi также означает оценку концентрации управления, процедур обновления, условий ликвидности и возможностей реагирования на инциденты, а не полагаться исключительно на аудиты смарт-контрактов.

Заключение

Эксплуатация Arkadiko Finance иллюстрирует, как легитимная система голосования DAO может стать вектором атаки, когда полномочия управления недостаточно ограничены. Инцидент 22 октября вызвал убытки примерно на сумму 1,09 миллиона долларов, нарушил привязку USDA к доллару и выявил слабости в авторизации контрактов и участии в управлении.

Последующие действия Arkadiko восстановили легитимный контроль над хранилищами и пополнили пострадавшую залоговую массу, однако восстановление контрактов и финансовое восстановление — это отдельные результаты.

Перед взаимодействием с Arkadiko или аналогичными протоколами DeFi пользователи должны проверить текущую доступность выкупа, ликвидность стейблкоинов, защиту управления и официальные объявления о восстановлении.

Читатели, заинтересованные в мониторинге криптовалютных рынков, могут изучить Bitrue Exchange, в то время как дополнительные обновления по безопасности блокчейна и образовательные ресурсы доступны через Bitrue Blog.

Часто задаваемые вопросы

Что стало причиной эксплуатации Arkadiko Finance?

Эксплуатация Arkadiko Finance была вызвана атакующим, использующим управление DAO для авторизации злонамеренного контракта операций с хранилищем. Предложение 12 прошло с голосами, контролируемыми атакующим, и предоставило контракту доступ к функциям управления залогами и чеканки USDA.

Сколько криптовалюты было украдено из Arkadiko?

Bitquery оценил, что во время инцидента 22 октября 2026 года было потеряно около 1,09 миллиона долларов в активах. К затронутым активам относились stSTX, sBTC и STX, полученные через обмены, включающие несанкционированную эмиссию USDA.

Почему USDA потерял свою привязку после взлома Arkadiko?

USDA потерял свою привязку после того, как атакующий исчерпал поддерживающий залог и чеканил большое количество необеспеченных токенов. Вызванное давление со стороны продаж, нарушенная функциональность выкупа и неопределённость вокруг доступности залога подорвали доверие рынка.

Восстановил ли голосование Arkadiko контроль над хранилищем?

Да. 27 октября 2026 года Предложение 14 восстановило легитимный контракт операций с хранилищем Arkadiko. Однако это изменение в управлении само по себе не восстановило украденные активы и не гарантировало, что выкупы USDA и ценообразование вернулись к норме.

Восстановился ли Arkadiko Finance полностью после эксплуатации?

Полное восстановление не было установлено независимо по состоянию на 3 ноября 2026 года. Arkadiko сообщило о пополнении залоговой массы хранилища и восстановлении легитимного контроля над контрактами, но полное восстановление украденных активов, восстановление привязки USDA и полная компенсация оставались нерешёнными или недостаточно подтверждёнными.

Отказ от ответственности: Мнения, выраженные в данном документе, принадлежат исключительно автору и не отражают мнения этой платформы. Эта платформа и её дочерние компании освобождают себя от какой-либо ответственности за точность или целесообразность предоставленной информации. Это предназначено только для информационных целей и не является финансовым или инвестиционным советом.