ロビンフッドのブロックチェーン上で株式トークンなどを売買できる分散型取引所（DEX）Arcus（アーカス）は11日、残高計算の不具合を突かれ、約223万USDG
USDG（約3.55億円）を不正に引き出されたと公表した。不具合は修正済みで、利用者の残高に影響はないという。不足分は運営会社が自社の資金で全額を補填した。
アーカスの不正出金は新規アカウント1つ、残高を水増し
アーカスは、暗号資産（仮想通貨）のデリバティブ取引所dYdXの開発チームが手がけ、ロビンフッドチェーン上で株式トークンと無期限先物を24時間売買できる。事故報告によると、新しく作られたアカウント1つが、自分のサブアカウント間で資金を振り替える処理の不具合を突いた。
特定の条件のもとで、実際の保有額よりはるかに大きい残高が記録され、その残高をもとに出金を申請したという。出金を止めるまでに引き出されたのは、米ドル連動のステーブルコインUSDGで223万4,391USDG。
さらに300万ドル（約4.76億円）分の申請は、ブリッジ（チェーン間で資金を移す仕組み）の一定時間あたりの出金上限で保留され、支払われないまま取り消された。ほかの利用者の残高・ポジション・注文に影響はなかったとしている。
同社が米東部時間で示した対応の経過を、日本時間に直すと次のとおり。
- 10日12時7分ごろ：不具合を突いた操作が始まる
- 12時10分：ブリッジの出金上限が自動で働き、300万ドル分を保留
- 12時15分：監視の仕組みが出金を検知し、調査を開始
- 13時7分：全体の出金を停止
- 13時37分：不具合の修正を反映。13時43分に攻撃者のアドレスの取引・送金・出金を止める
- 18時26分：全体の出金を再開
- 11日2時28分：不足分を運営会社の資金で補填
修正は同社のセキュリティの提携先が確認したという。なお、アーカスは日本の金融庁に暗号資産交換業者として登録されていない。
流出資金はイーサリアム経由で一部ビットコインに
同社は攻撃者の最初のアドレスを公表し、取引所やサービス事業者に、このアドレスから受け取った資金に目印（フラグ）を付けるよう求めている。JinaCoinがこのアドレスの取引記録を調べたところ、資金はブリッジのRelayでイーサリアム
ETHのネットワークに移されていた。
Relayの記録では、攻撃者は日本時間10日12時13分〜57分に7回で計約223万USDGを送り、約1,052 ETHを受け取った。11日11時37分時点の行き先は次のとおり。
| 行き先 | 量 | その後 |
|---|---|---|
| DAIに交換 | 約476 ETH | ドル連動のステーブルコイン約100万9,000DAIに替え、別のアドレスへ移動。そのまま残る |
| THORChain（ソーチェーン） | 約53 ETH | ビットコインに交換 |
| 別のアドレス | 約48 ETH | 移した先からRelayでビットコインに交換 |
| 最初のアドレス | 約475 ETH | 動かさずに残る |
ソーチェーンとRelayで替えたビットコインは計約2.83 BTC
BTCで、1つのアドレスに届いたまま動いていない。
同社は、ブロックチェーンの調査の専門家と協力して資金を追っており、必要に応じて捜査当局とも連携すると説明している。
関連：dYdX開発陣の新DEX「Arcus」始動──ロビンフッド連携で株を24時間取引
関連：ロビンフッド・ウォレット、株式トークン取引にArcus統合──190銘柄超
※価格は執筆時点でのレート換算（1ドル＝158.83円）
