Arcus-Exploit: Wie du Perp-DEX-Guthaben nach dem 2,23-Millionen-Leck absicherst

Der dezentrale Handelsplatz Arcus auf der Robinhood Chain hat in der Nacht zum 10. November 2026 rund 2,23 Millionen Dollar verloren. Ein neu angelegtes Konto nutzte einen Buchungsfehler bei Überweisungen zwischen Subkonten, verbuchte dadurch ein Guthaben, das es nie besessen hatte, und zog 2.234.391 USDG ab. Nach Angaben der Betreiber war nur dieses eine Konto beteiligt, die Guthaben, Positionen und Orders aller anderen Nutzer blieben unverändert, und Arcus Labs hat die Lücke aus der eigenen Firmenkasse geschlossen. Wer dort handelt, muss also kein Geld nachschießen. Prüfen solltest du trotzdem einiges, denn der Fall zeigt, wo bei Perpetual-Börsen auf der Blockchain das eigentliche Risiko liegt.

Die Zahlen in diesem Beitrag stammen, soweit nicht anders angegeben, aus dem Vorfallbericht von Arcus vom 10. November. Die Datenplattform DefiLlama führt den Vorfall in ihrer Hack-Liste mit demselben Betrag und ordnet ihn als Fehler in der Protokolllogik ein, genauer als Fehler in der Auszahlungslogik.

Arcus-Exploit: Der Ablauf in der Nacht zum 10. November

Arcus nennt im Bericht die Ostküstenzeit der USA. Umgerechnet auf deutsche Zeit ergibt sich folgender Ablauf. Gegen 4:07 Uhr am 10. November begann das neu angelegte Konto mit den Überweisungen zwischen seinen Subkonten. Schon drei Minuten später, um 4:10 Uhr, griff das Ratenlimit der Bridge, über die Guthaben von Arcus auf die Blockchain ausgezahlt werden. Um 4:15 Uhr schlug die Überwachung der Betreiber an, die Untersuchung begann.

Eine knappe Stunde später, um 5:07 Uhr, stoppte Arcus alle Auszahlungen auf der Plattform und meldete das auf der Statusseite. Um 5:37 Uhr war die Korrektur im Code aktiv, um 5:43 Uhr waren die Adressen des Angreifers für Handel, Überweisungen und Auszahlungen gesperrt. Die normalen Auszahlungen liefen ab 10:26 Uhr wieder, um 11:02 Uhr hob Arcus die noch offenen Auszahlungsanträge des Angreifers auf. Um 18:28 Uhr war die Lücke aus der Firmenkasse ausgeglichen.

Zwischen dem ersten Alarm und dem Stopp aller Auszahlungen lagen damit rund 52 Minuten, bis zur Korrektur gut 80 Minuten. Arcus selbst schreibt, der Fehler sei innerhalb etwa einer Stunde nach der Entdeckung behoben worden. Eine Erklärung für den Abstand zwischen beiden Angaben liefert der Bericht nicht.

Subkonto-Fehler: Wie ein neues Konto Guthaben verbuchte, das es nie besaß

Ein Subkonto ist ein Unterkonto innerhalb derselben Wallet. Händler nutzen solche Unterkonten, um Strategien zu trennen, etwa ein Konto für einen gehebelten Trade und eines für ruhigere Positionen, ohne jedes Mal eine neue Wallet anzulegen. Arcus beschreibt die Funktion in seiner Dokumentation als Teil der Kontoarchitektur, Guthaben lassen sich zwischen den Unterkonten derselben Wallet verschieben.

Genau an dieser Stelle lag der Fehler. Unter bestimmten Bedingungen, die Arcus nicht näher beschreibt, verbuchte die Börse nach einer solchen internen Überweisung ein Guthaben, das deutlich über dem tatsächlichen Bestand lag. Das Konto stellte danach Auszahlungsanträge auf dieses aufgeblähte Guthaben, und ein Teil davon wurde auf der Blockchain ausgeführt, bevor die Betreiber eingriffen.

Technisch ist das kein Angriff auf eine Blockchain und auch kein gestohlener Schlüssel. Es ist ein Fehler in der Buchhaltung der Börse selbst, also in der Software, die festhält, wem wie viel gehört. Fremde Zugangsdaten brauchte der Angreifer dafür nicht, ihm genügte ein frisch angelegtes Konto. Einen vollständigen Ursachenbericht mit der betroffenen Codestelle hat Arcus bisher nicht veröffentlicht.

Ratenlimit der Bridge: Warum drei Millionen Dollar auf der Plattform blieben

Der Schaden hätte deutlich größer ausfallen können. Laut Bericht beantragte der Angreifer Auszahlungen über weitere rund 3 Millionen Dollar. Diese Anträge blieben im Ratenlimit der Bridge hängen, wurden nie ausgezahlt und später rückgängig gemacht.

Ein Ratenlimit ist eine Obergrenze dafür, wie viel Geld in einem bestimmten Zeitraum über eine Verbindung abfließen darf. Es arbeitet wie eine Schleuse: Ist das Kontingent erschöpft, warten alle weiteren Auszahlungen, bis das Zeitfenster abgelaufen ist oder jemand eingreift. Bei Arcus verschaffte diese Bremse den Betreibern die Zeit, die Plattform anzuhalten, bevor mehr als gut zwei Fünftel der beantragten Summe abgeflossen war.

Für dich als Nutzer ist das ein brauchbares Prüfkriterium. Plattformen, die Auszahlungslimits, eine Überwachung rund um die Uhr und eine öffentliche Statusseite haben, können einen Fehler eingrenzen. Ob eine Börse solche Mechanismen nennt, steht meist in ihrer Dokumentation oder in den Sicherheitsangaben.

Arcus und Robinhood Chain: Wer hinter dem Perp-DEX steht

Arcus ist ein Perp-DEX, also eine dezentrale Börse für Perpetual Futures. Perpetual Futures sind Terminkontrakte ohne Ablaufdatum, mit denen du mit Hebel auf steigende oder fallende Kurse setzt, ohne den Basiswert selbst zu besitzen. Entwickelt hat Arcus das Team hinter der Derivatebörse dYdX; Robinhood Crypto ist laut The Block strategischer Investor.

Gestartet ist Arcus mit dem Start der Robinhood Chain im Juli 2026, zunächst mit Aktien-Token, die rund um die Uhr handelbar sind. Danach kamen Perpetual-Märkte auf Aktien, Rohstoffe, Indizes und Kryptowährungen hinzu, die laut The Block zunächst als Beta liefen. Als Sicherheit und Abrechnungswährung dient USDG, ein an den Dollar gekoppelter Stablecoin des Emittenten Paxos.

Wichtig für die Einordnung: Der Vorfall betrifft nicht die Robinhood Chain selbst. Arcus führt den Verlust auf die eigene Buchungslogik für Subkonten zurück. Andere Anwendungen auf derselben Blockchain sind nach allem, was bisher bekannt ist, nicht betroffen.

Kundengelder bei Arcus: Was die Deckung aus der Firmenkasse bedeutet

Arcus Labs hat die Lücke von gut 2,23 Millionen Dollar aus eigenen Mitteln ausgeglichen. Für Nutzer heißt das zunächst: Deren Guthaben sind vollständig gedeckt. Im Vorfallbericht heißt es ausdrücklich, Guthaben von Nutzern seien nicht betroffen gewesen.

Ein Freibrief ist das nicht. Die Deckung beruht auf einer Entscheidung des Unternehmens, nicht auf einer gesetzlichen Pflicht oder einer Einlagensicherung. Bei einem größeren Fehler hängt die Erstattung davon ab, wie viel Geld die Betreiber in der Kasse haben und ob sie zahlen wollen. Genau das ist der Unterschied zu einem Bankkonto, bei dem die gesetzliche Einlagensicherung greift.

Die abgeflossenen 2,23 Millionen Dollar sind zudem nicht zurück. Arcus arbeitet nach eigenen Angaben mit Blockchain-Ermittlern zusammen, verfolgt die Gelder auf der Blockchain und will sich mit Strafverfolgungsbehörden abstimmen. Die Adresse des Angreifers hat Arcus veröffentlicht und Börsen sowie Dienstleister gebeten, Gelder von dort zu markieren. Ob ein Teil eingefroren werden kann, ist offen.

Wer unabhängig von diesem Fall eine Plattform für gehebelten Handel sucht, findet im Vergleich der besten Perp-DEX die Sicherheitsmerkmale, Prüfberichte und Gebühren der größten Anbieter nebeneinander.

Perp-DEX-Risiko: Der dritte Vorfall dieser Woche nach Across und Initia

Arcus ist nicht der einzige Fall der vergangenen Tage. Bei der Bridge Across lenkten Angreifer Nutzer über eine gekaperte Domain auf eine gefälschte Seite, wie wir im Beitrag zum Across-Bridge-Hack beschrieben haben. Bei Initia kostete ein kompromittierter Cloud-Schlüssel nach Angaben des Projekts 3,27 Millionen Dollar, die Einzelheiten stehen im Beitrag zum Initia-Hack.

Die drei Fälle haben unterschiedliche Ursachen: eine gekaperte Domain, ein gestohlener Schlüssel, ein Buchungsfehler. Gemeinsam ist ihnen, dass nicht die zugrunde liegende Blockchain versagt hat, sondern die Infrastruktur darüber. Für Privatanleger ist das die entscheidende Erkenntnis. Die Sicherheit einer Blockchain sagt wenig darüber aus, wie sicher eine Anwendung ist, die auf ihr läuft.

Bei Arcus kam der Verlust aus der Buchhaltung der Börse. Bei klassischen Börsen mit Kundenkonten liegt dieses Risiko genauso vor, nur sieht man es dort seltener, weil die Buchung nicht auf einer öffentlichen Blockchain stattfindet. Ein Vorteil der dezentralen Variante: Jede Auszahlung ist auf der Blockchain nachvollziehbar, auch die des Angreifers.

So schützt du dich vor Buchungsfehlern auf Perp-DEX

Was passiert ist: Am 10. November 2026 gegen 4:07 Uhr deutscher Zeit nutzte ein neu angelegtes Konto auf dem Perp-DEX Arcus einen Fehler bei Überweisungen zwischen Subkonten und zog 2.234.391 USDG ab. Weitere rund 3 Millionen Dollar hielt das Ratenlimit der Bridge zurück. Arcus hat die Lücke laut eigenem Bericht aus der Firmenkasse geschlossen (Stand 11. November 2026).

Bist du betroffen? Nach Angaben von Arcus nicht, falls du dort ein Konto hast: Guthaben, Positionen und Orders der übrigen Nutzer blieben unverändert. Wer in der Nacht zum 10. November eine Auszahlung beantragt hat, musste wegen des Stopps zwischen 5:07 und 10:26 Uhr warten. Nutzer anderer Börsen und der Robinhood Chain allgemein sind von diesem Fehler nicht betroffen.

1. Kontostand abgleichen: Vergleiche Guthaben, offene Positionen und Auszahlungsanträge seit dem 9. November mit deinen eigenen Aufzeichnungen und melde Abweichungen an support@arcus.xyz.
2. Nur offizielle Mitteilungen lesen: Rufe Statusseite und Blog von Arcus über ein eigenes Lesezeichen auf und folge keinen Links zu angeblichen Erstattungen aus Chats, Mails oder Antworten auf X.
3. Freigaben entziehen: Prüfe mit einem Werkzeug wie Revoke.cash, welche Verträge deine Wallet für USDG und andere Token freigegeben hat, und entziehe unbegrenzte Freigaben, die du gerade nicht brauchst.
4. Handelskapital begrenzen: Lass auf einem Perp-DEX nur den Betrag liegen, den du für offene Positionen und deren Sicherheiten brauchst, den Rest ziehst du auf eine eigene Wallet ab.
5. Fremde Token ignorieren: Rühre keine unbekannten Token oder angeblichen Entschädigungs-Airdrops an, die nach dem Vorfall in deiner Wallet auftauchen, denn genau diese Masche folgt oft auf Hacks.

Die Grundlagen der sicheren Verwahrung erklärt unser Ratgeber Kryptowährungen sicher aufbewahren, die passenden Geräte vergleicht der Hardware-Wallet-Vergleich.

Perpetual Futures und MiCA: Welcher Schutz für deutsche Trader gilt

Perpetual Futures sind Derivate. Die europäische Kryptoverordnung MiCA regelt Dienstleister für Kryptowerte wie Börsen, Broker und Verwahrer, Derivate auf Kryptowerte fallen dagegen unter das Wertpapierrecht der EU, die Finanzmarktrichtlinie MiFID II. Ein dezentraler Handelsplatz ohne Betreiber in der EU steht in aller Regel unter keiner dieser beiden Aufsichten. Eine BaFin-Erlaubnis, eine Pflicht zur getrennten Verwahrung von Kundengeldern oder ein Beschwerdeweg bei einer deutschen Behörde gibt es dort deshalb nicht.

Wer gehebelt handeln will, hat zwei Wege. Auf einem Perp-DEX behältst du die Kontrolle über deine Wallet, trägst aber das Risiko von Fehlern im Code und in der Buchung, wie der Fall Arcus zeigt. Bei einem regulierten Anbieter mit Lizenz in der EU greifen Aufsicht, Verwahrregeln und bei Derivaten auch Hebelgrenzen für Privatkunden. Welche Plattformen eine Zulassung nach MiCA haben, listet unsere Übersicht der regulierten Kryptobörsen.

Unabhängig vom Weg gilt beim Hebelhandel: Eine Liquidation tritt ein, wenn die hinterlegte Sicherheit die Verluste einer Position nicht mehr deckt. Dann schließt die Börse die Position zwangsweise. Wird eine Plattform wie Arcus für Auszahlungen gesperrt, laufen offene Positionen weiter, und du kannst keine Sicherheiten von außen nachschießen, solange die Bridge steht. Halte die Sicherheitsmarge deshalb großzügig.

Arcus-Exploit: Ohne Ursachenbericht bleibt nur Handelskapital drin

Arcus hat schnell reagiert und den Schaden selbst getragen. Offen sind die genaue Ursache, das Ergebnis der Verfolgung der Gelder und die Frage, ob unabhängige Prüfer den Code danach erneut untersucht haben. Bis dahin empfiehlt sich Zurückhaltung beim Kapital, das auf der Plattform liegt.

1. Plattform vergleichen: Prüfe im Perp-DEX-Vergleich, welche Anbieter Prüfberichte, Auszahlungslimits und eine öffentliche Statusseite vorweisen.
2. Regulierte Alternative prüfen: Wenn dir Aufsicht und Verwahrregeln wichtiger sind als die eigene Wallet, findest du lizenzierte Anbieter bei den regulierten Kryptobörsen.
3. Langfristiges auslagern: Was du nicht aktiv handelst, gehört auf eine eigene Wallet; passende Geräte zeigt der Hardware-Wallet-Vergleich.

(Stand: 11. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)