Hackeo de Arcus: un fallo en subcuentas cuesta 2,23 millones de dólares al perp DEX

El exchange descentralizado Arcus, que opera en Robinhood Chain, perdió unos 2,23 millones de dólares en la madrugada del 10 de noviembre de 2026. Una cuenta recién creada aprovechó un error contable en las transferencias entre subcuentas, se anotó un saldo que nunca había tenido y retiró 2.234.391 USDG. Según los operadores, solo intervino esa cuenta: los saldos, las posiciones y las órdenes del resto de usuarios no sufrieron cambios, y Arcus Labs cubrió el agujero con fondos propios de la empresa. Quien opera allí no tiene que aportar dinero. Aun así, conviene revisar varios puntos, porque el caso muestra dónde está el riesgo real de los exchanges de futuros perpetuos que funcionan sobre una blockchain.

Salvo que se indique otra cosa, las cifras de este artículo proceden del informe del incidente de Arcus del 10 de noviembre. La plataforma de datos DefiLlama recoge el caso en su lista de hackeos con el mismo importe y lo clasifica como un fallo en la lógica del protocolo, en concreto en la lógica de retiros.

Hackeo de Arcus: cronología de la madrugada del 10 de noviembre

Arcus utiliza en su informe la hora de la costa este de Estados Unidos. Convertida a la hora peninsular española, que coincide con la de Europa central, la secuencia es la siguiente. Hacia las 4:07 del 10 de noviembre, la cuenta recién creada empezó a hacer transferencias entre sus subcuentas. Apenas tres minutos después, a las 4:10, saltó el límite de velocidad del puente (bridge) a través del cual los saldos de Arcus se retiran a la blockchain. A las 4:15 se activó la vigilancia de los operadores y comenzó la investigación.

Casi una hora más tarde, a las 5:07, Arcus detuvo todos los retiros de la plataforma y lo comunicó en su página de estado. A las 5:37 la corrección del código ya estaba activa, y a las 5:43 las direcciones del atacante quedaron bloqueadas para operar, transferir y retirar. Los retiros normales se reanudaron a partir de las 10:26, y a las 11:02 Arcus anuló las solicitudes de retiro del atacante que seguían pendientes. A las 18:28 el agujero estaba cubierto con dinero de la empresa.

Entre la primera alerta y la suspensión de todos los retiros pasaron unos 52 minutos, y hasta la corrección, algo más de 80 minutos. La propia Arcus afirma que el error se resolvió en aproximadamente una hora desde su detección. El informe no explica la diferencia entre ambos datos.

Fallo en subcuentas de Arcus: cómo una cuenta nueva se anotó un saldo que nunca tuvo

Una subcuenta es una cuenta secundaria dentro de la misma wallet. Los traders las usan para separar estrategias, por ejemplo una cuenta para una operación apalancada y otra para posiciones más tranquilas, sin tener que crear cada vez una wallet nueva. Arcus describe esta función en su documentación como parte de la arquitectura de cuentas: los saldos pueden moverse entre las subcuentas de una misma wallet.

Ahí estaba precisamente el fallo. En determinadas condiciones, que Arcus no detalla, el exchange registraba tras una de esas transferencias internas un saldo muy superior al que existía realmente. La cuenta presentó después solicitudes de retiro sobre ese saldo inflado, y una parte se ejecutó en la blockchain antes de que los operadores intervinieran.

Desde el punto de vista técnico, no se trata de un ataque a una blockchain ni de una clave robada. Es un error en la contabilidad del propio exchange, es decir, en el software que registra cuánto pertenece a cada usuario. El atacante no necesitó credenciales ajenas; le bastó con una cuenta recién abierta. Arcus todavía no ha publicado un informe completo de causas que señale el fragmento de código afectado.

Límite del bridge de Arcus: por qué tres millones de dólares no salieron

El daño pudo ser mucho mayor. Según el informe, el atacante solicitó retiros por otros 3 millones de dólares aproximadamente. Esas solicitudes quedaron retenidas en el límite de velocidad del bridge, nunca llegaron a pagarse y después se revirtieron.

Un límite de velocidad es un tope a la cantidad de dinero que puede salir por una conexión en un periodo determinado. Funciona como una esclusa: cuando se agota el cupo, todos los retiros siguientes esperan hasta que termina la ventana de tiempo o alguien interviene. En Arcus, ese freno dio a los operadores el tiempo necesario para detener la plataforma antes de que saliera algo más de dos quintas partes de la suma solicitada.

Para ti como usuario es un criterio útil a la hora de evaluar una plataforma. Las que tienen límites de retiro, vigilancia las 24 horas y una página de estado pública pueden acotar un error. Si un exchange cuenta con estos mecanismos suele figurar en su documentación o en su información de seguridad.

Arcus y Robinhood Chain: quién está detrás de este perp DEX

Arcus es un perp DEX, es decir, un exchange descentralizado de futuros perpetuos. Los futuros perpetuos son contratos a plazo sin fecha de vencimiento con los que apuestas con apalancamiento a subidas o bajadas de precio sin poseer el activo subyacente. Arcus lo ha desarrollado el equipo que está detrás del exchange de derivados dYdX, y Robinhood Crypto es inversor estratégico, según The Block.

Arcus arrancó junto con el lanzamiento de Robinhood Chain en julio de 2026, primero con tokens de acciones negociables a cualquier hora. Después llegaron los mercados perpetuos sobre acciones, materias primas, índices y criptomonedas, que según The Block funcionaron al principio en fase beta. Como garantía y moneda de liquidación se usa USDG, una stablecoin vinculada al dólar emitida por Paxos.

Un dato importante para situar el caso: el incidente no afecta a Robinhood Chain como tal. Arcus atribuye la pérdida a su propia lógica contable para subcuentas. Por lo que se sabe hasta ahora, otras aplicaciones de la misma blockchain no se han visto afectadas.

Fondos de clientes en Arcus: qué significa la cobertura con dinero de la empresa

Arcus Labs ha cubierto con recursos propios el agujero de algo más de 2,23 millones de dólares. Para los usuarios, eso significa de entrada que sus saldos están totalmente respaldados. El informe del incidente afirma de forma expresa que los saldos de los usuarios no se vieron afectados.

Eso no es una garantía para el futuro. La cobertura se basa en una decisión de la empresa, no en una obligación legal ni en un fondo de garantía de depósitos. Ante un fallo mayor, el reembolso dependerá del dinero que tengan los operadores en caja y de si quieren pagar. Esa es justamente la diferencia con una cuenta bancaria, que está protegida por el fondo de garantía de depósitos previsto por la ley.

Además, los 2,23 millones de dólares que salieron no se han recuperado. Arcus dice que colabora con investigadores especializados en blockchain, rastrea los fondos en la cadena de bloques y quiere coordinarse con las autoridades policiales. Ha publicado la dirección del atacante y ha pedido a exchanges y proveedores de servicios que marquen los fondos procedentes de ella. No se sabe si podrá congelarse una parte.

Si, al margen de este caso, buscas una plataforma para operar con apalancamiento, la comparativa de los mejores perp DEX reúne las medidas de seguridad, las auditorías y las comisiones de los principales proveedores.

Riesgo de los perp DEX: tercer incidente de la semana tras Across e Initia

Arcus no es el único caso de los últimos días. En el bridge Across, los atacantes desviaron a los usuarios a una página falsa mediante un dominio secuestrado, como explicamos en el artículo sobre el hackeo del bridge Across. En Initia, una clave de la nube comprometida costó 3,27 millones de dólares según el proyecto; los detalles están en el artículo sobre el hackeo de Initia.

Los tres casos tienen causas distintas: un dominio secuestrado, una clave robada y un error contable. Lo que comparten es que la blockchain subyacente funcionó, y que lo que falló fue la infraestructura construida encima. Para el inversor minorista es la conclusión más relevante. La seguridad de una blockchain dice poco sobre lo segura que es una aplicación que funciona sobre ella.

En Arcus, la pérdida salió de la contabilidad del exchange. En los exchanges tradicionales con cuentas de clientes ese riesgo existe igual, solo que se ve con menos frecuencia porque los apuntes no se hacen en una blockchain pública. Una ventaja del modelo descentralizado es que cada retiro puede rastrearse en la blockchain, también los del atacante.

Cómo protegerte de los errores contables en un perp DEX

Qué ha pasado: El 10 de noviembre de 2026, hacia las 4:07 hora peninsular española, una cuenta recién creada en el perp DEX Arcus aprovechó un fallo en las transferencias entre subcuentas y retiró 2.234.391 USDG. El límite de velocidad del bridge retuvo otros 3 millones de dólares aproximadamente. Según su propio informe, Arcus ha cubierto el agujero con fondos de la empresa (a 11 de noviembre de 2026).

¿Te afecta? Si tienes cuenta allí, según Arcus no: los saldos, las posiciones y las órdenes del resto de usuarios no cambiaron. Quien solicitó un retiro en la madrugada del 10 de noviembre tuvo que esperar por la suspensión entre las 5:07 y las 10:26. Los usuarios de otros exchanges y de Robinhood Chain en general no se ven afectados por este fallo.

1. Cuadra tu saldo por canales oficiales: Compara saldos, posiciones abiertas y solicitudes de retiro desde el 9 de noviembre con tus propios registros y comunica cualquier diferencia a support@arcus.xyz. Abre la página de estado y el blog de Arcus desde un marcador propio y no sigas enlaces a supuestos reembolsos que lleguen por chats, correos o respuestas en X.
2. Limpia tu wallet: Comprueba con una herramienta como Revoke.cash qué contratos tienen permiso sobre tus USDG y otros tokens, y retira las autorizaciones ilimitadas que no necesites ahora. No toques tokens desconocidos ni supuestos airdrops de compensación que aparezcan en tu wallet tras el incidente, porque es un engaño habitual después de un hackeo.
3. Limita el capital de trading: Deja en un perp DEX solo la cantidad que necesitas para las posiciones abiertas y sus garantías, y retira el resto a una wallet propia.

La guía sobre cómo guardar criptomonedas de forma segura explica los fundamentos de la custodia, y la comparativa de hardware wallets analiza los dispositivos adecuados.

Futuros perpetuos y MiCA: qué protección tienes como trader en la UE

Los futuros perpetuos son derivados. El reglamento europeo MiCA regula a los proveedores de servicios de criptoactivos como exchanges, brókeres y custodios, mientras que los derivados sobre criptoactivos se rigen por la normativa de valores de la UE, la directiva de mercados financieros MiFID II. Un exchange descentralizado sin operador en la UE no está, por regla general, bajo ninguna de estas dos supervisiones. Por eso no hay allí autorización de un supervisor nacional como la BaFin alemana, ni obligación de custodiar por separado el dinero de los clientes, ni una vía de reclamación ante una autoridad pública.

Si quieres operar con apalancamiento, tienes dos caminos. En un perp DEX mantienes el control de tu wallet, pero asumes el riesgo de errores en el código y en la contabilidad, como muestra el caso Arcus. Con un proveedor regulado y con licencia en la UE se aplican la supervisión, las normas de custodia y, en derivados, también límites de apalancamiento para clientes minoristas. Nuestro listado de exchanges de criptomonedas regulados recoge qué plataformas tienen autorización conforme a MiCA.

Sea cual sea el camino, en el trading apalancado rige lo mismo: la liquidación se produce cuando la garantía depositada ya no cubre las pérdidas de una posición, y entonces el exchange la cierra de forma forzosa. Si una plataforma como Arcus bloquea los retiros, las posiciones abiertas siguen corriendo y no puedes aportar garantías desde fuera mientras el bridge esté parado. Por eso conviene mantener un margen de seguridad amplio.

Hackeo de Arcus: sin informe de causas tras perder 2,23 millones

Arcus reaccionó rápido y asumió el daño por su cuenta. Siguen pendientes la causa exacta, el resultado del rastreo de los fondos y si auditores independientes han vuelto a revisar el código después del incidente. Hasta entonces, lo prudente es ser comedido con el capital que se deja en la plataforma.

1. Compara plataformas: En la comparativa de perp DEX puedes ver qué proveedores presentan auditorías, límites de retiro y una página de estado pública.
2. Valora una alternativa regulada: Si la supervisión y las normas de custodia te importan más que tener tu propia wallet, encontrarás proveedores con licencia entre los exchanges de criptomonedas regulados.
3. Saca lo que es a largo plazo: Lo que no operas de forma activa debe estar en una wallet propia; la comparativa de hardware wallets muestra los dispositivos adecuados.

(11 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)