Exploit Arcus : le perp DEX perd 2,23 millions de dollars sur une faille de sous-comptes

La plateforme d’échange décentralisée Arcus, déployée sur la Robinhood Chain, a perdu environ 2,23 millions de dollars dans la nuit du 9 au 10 novembre 2026. Un compte fraîchement ouvert a exploité une erreur comptable dans les virements entre sous-comptes, s’est vu créditer un solde qu’il n’avait jamais détenu et a retiré 2 234 391 USDG. Selon les exploitants, ce seul compte était en cause : les soldes, positions et ordres de tous les autres utilisateurs sont restés intacts, et Arcus Labs a comblé le trou sur sa propre trésorerie. Si vous négociez sur Arcus, vous n’aurez donc rien à remettre. Quelques vérifications restent utiles, car l’affaire montre où se situe le véritable risque des plateformes de contrats perpétuels sur la blockchain.

Sauf mention contraire, les chiffres de cet article proviennent du rapport d’incident d’Arcus du 10 novembre. La plateforme de données DefiLlama recense l’incident dans sa liste de piratages pour le même montant et le classe parmi les failles de logique de protocole, plus précisément de logique de retrait.

Exploit Arcus : le déroulé de la nuit du 10 novembre

Dans son rapport, Arcus indique les heures de la côte Est des États-Unis. Converties en heure d’Europe centrale, elles donnent la chronologie suivante. Vers 4 h 07 le 10 novembre, le compte nouvellement créé a commencé à effectuer des virements entre ses sous-comptes. Trois minutes plus tard à peine, à 4 h 10, la limite de débit du pont (bridge) par lequel les soldes d’Arcus sont versés sur la blockchain s’est déclenchée. À 4 h 15, la surveillance des exploitants a donné l’alerte et l’enquête a commencé.

Près d’une heure plus tard, à 5 h 07, Arcus a suspendu tous les retraits sur la plateforme et l’a signalé sur sa page de statut. À 5 h 37, le correctif du code était actif ; à 5 h 43, les adresses de l’attaquant étaient bloquées pour la négociation, les virements et les retraits. Les retraits normaux ont repris à partir de 10 h 26, et à 11 h 02 Arcus a annulé les demandes de retrait encore en attente de l’attaquant. À 18 h 28, le trou était comblé sur la trésorerie de l’entreprise.

Il s’est donc écoulé environ 52 minutes entre la première alerte et la suspension de tous les retraits, et un peu plus de 80 minutes jusqu’au correctif. Arcus affirme pour sa part que la faille a été corrigée dans l’heure environ suivant sa découverte. Le rapport n’explique pas l’écart entre ces deux indications.

Faille des sous-comptes : comment un nouveau compte a encaissé des fonds fictifs

Un sous-compte est un compte secondaire rattaché au même portefeuille. Les opérateurs s’en servent pour séparer leurs stratégies, par exemple un compte pour une opération à effet de levier et un autre pour des positions plus calmes, sans devoir créer chaque fois un nouveau portefeuille. Dans sa documentation, Arcus présente cette fonction comme un élément de son architecture de comptes : les soldes peuvent être transférés entre les sous-comptes d’un même portefeuille.

C’est précisément là que se logeait la faille. Dans certaines conditions qu’Arcus ne détaille pas, la plateforme a comptabilisé, après un tel virement interne, un solde nettement supérieur aux avoirs réels. Le compte a ensuite déposé des demandes de retrait portant sur ce solde gonflé, et une partie a été exécutée sur la blockchain avant que les exploitants n’interviennent.

Sur le plan technique, il ne s’agit ni d’une attaque contre une blockchain ni d’une clé volée. C’est une erreur dans la comptabilité de la plateforme elle-même, c’est-à-dire dans le logiciel qui enregistre qui détient combien. L’attaquant n’a eu besoin d’aucun identifiant d’autrui : un compte tout juste ouvert lui a suffi. Arcus n’a pas encore publié de rapport complet sur les causes indiquant le passage de code concerné.

Limite de débit du bridge : pourquoi 3 millions de dollars sont restés sur Arcus

Le préjudice aurait pu être bien plus lourd. Selon le rapport, l’attaquant a demandé des retraits pour environ 3 millions de dollars supplémentaires. Ces demandes sont restées bloquées par la limite de débit du pont, n’ont jamais été versées et ont ensuite été annulées.

Une limite de débit plafonne le montant qui peut sortir par une connexion sur une période donnée. Elle fonctionne comme une écluse : une fois le contingent épuisé, tous les retraits suivants attendent l’expiration de la fenêtre de temps ou l’intervention de quelqu’un. Chez Arcus, ce frein a laissé aux exploitants le temps d’arrêter la plateforme avant que plus des deux cinquièmes environ de la somme demandée ne soient sortis.

Pour vous, en tant qu’utilisateur, c’est un critère d’évaluation pertinent. Les plateformes dotées de plafonds de retrait, d’une surveillance permanente et d’une page de statut publique sont en mesure de circonscrire une erreur. La présence de tels mécanismes figure le plus souvent dans leur documentation ou dans leurs informations de sécurité.

Arcus et Robinhood Chain : qui se cache derrière ce perp DEX

Arcus est un perp DEX, c’est-à-dire une plateforme d’échange décentralisée de contrats à terme perpétuels. Ces contrats sans date d’échéance permettent de parier avec effet de levier sur la hausse ou la baisse des cours sans détenir l’actif sous-jacent. Arcus a été développé par l’équipe à l’origine de la plateforme de produits dérivés dYdX ; selon The Block, Robinhood Crypto en est investisseur stratégique.

Arcus a démarré avec le lancement de la Robinhood Chain en juillet 2026, d’abord avec des jetons d’actions négociables en continu. Sont ensuite venus des marchés perpétuels sur actions, matières premières, indices et cryptomonnaies, d’abord proposés en version bêta selon The Block. La garantie et la monnaie de règlement sont l’USDG, un stablecoin adossé au dollar émis par Paxos.

Un point essentiel pour bien situer l’affaire : l’incident ne concerne pas la Robinhood Chain elle-même. Arcus impute la perte à sa propre logique de comptabilisation des sous-comptes. En l’état des informations, les autres applications de la même blockchain ne sont pas touchées.

Fonds des clients d’Arcus : la portée d’une couverture sur fonds propres

Arcus Labs a comblé sur ses fonds propres le trou d’un peu plus de 2,23 millions de dollars. Pour les utilisateurs, cela signifie d’abord que leurs avoirs sont intégralement couverts. Le rapport d’incident précise expressément que les soldes des utilisateurs n’ont pas été affectés.

Ce n’est pas pour autant un blanc-seing. La couverture repose sur une décision de l’entreprise, sans obligation légale ni garantie des dépôts derrière elle. En cas de défaillance plus importante, le remboursement dépendrait de la trésorerie dont disposent les exploitants et de leur volonté de payer. C’est toute la différence avec un compte bancaire, couvert par la garantie légale des dépôts.

Les 2,23 millions de dollars sortis n’ont par ailleurs pas été récupérés. Arcus indique collaborer avec des enquêteurs spécialisés en blockchain, suivre les fonds sur la blockchain et vouloir se coordonner avec les autorités judiciaires. Arcus a publié l’adresse de l’attaquant et demandé aux plateformes et prestataires de signaler les fonds qui en proviennent. On ignore encore si une partie pourra être gelée.

Si, indépendamment de cette affaire, vous cherchez une plateforme de négociation à effet de levier, notre comparatif des meilleurs perp DEX présente côte à côte les dispositifs de sécurité, rapports d’audit et frais des principaux acteurs.

Risque des perp DEX : troisième incident de la semaine après Across et Initia

Arcus n’est pas le seul cas de ces derniers jours. Sur le pont Across, des attaquants ont redirigé les utilisateurs vers un faux site au moyen d’un domaine détourné, comme nous l’avons décrit dans notre article sur le piratage du bridge Across. Chez Initia, une clé cloud compromise a coûté 3,27 millions de dollars selon le projet ; les détails figurent dans notre article sur le piratage d’Initia.

Les trois cas ont des causes différentes : un domaine détourné, une clé volée et une erreur comptable. Leur point commun est que la blockchain sous-jacente a tenu à chaque fois, tandis que l’infrastructure bâtie au-dessus a cédé. Pour les investisseurs particuliers, c’est l’enseignement décisif. La sécurité d’une blockchain en dit peu sur celle d’une application qui y fonctionne.

Chez Arcus, la perte est venue de la comptabilité de la plateforme. Les plateformes centralisées classiques, avec comptes clients, portent exactement le même risque, mais il y est moins visible, car leurs écritures ne sont pas passées sur une blockchain publique. Un avantage du modèle décentralisé : chaque retrait est traçable sur la blockchain, y compris ceux de l’attaquant.

Comment vous protéger des erreurs comptables sur les perp DEX

Ce qui s’est passé : le 10 novembre 2026 vers 4 h 07, heure d’Europe centrale, un compte nouvellement ouvert sur le perp DEX Arcus a exploité une erreur dans les virements entre sous-comptes et retiré 2 234 391 USDG. La limite de débit du pont a retenu environ 3 millions de dollars supplémentaires. Selon son propre rapport, Arcus a comblé le trou sur la trésorerie de l’entreprise (au mois de novembre 2026).

Êtes-vous concerné ? Selon Arcus, non, si vous y détenez un compte : les soldes, positions et ordres des autres utilisateurs sont restés inchangés. Ceux qui ont demandé un retrait dans la nuit du 10 novembre ont dû attendre, en raison de la suspension, entre 5 h 07 et 10 h 26. Les utilisateurs d’autres plateformes et de la Robinhood Chain en général ne sont pas touchés par cette faille.

1. Rapprocher votre solde : comparez soldes, positions ouvertes et demandes de retrait depuis le 9 novembre avec vos propres relevés et signalez tout écart à support@arcus.xyz.
2. Ne lire que les communications officielles : ouvrez la page de statut et le blog d’Arcus depuis votre propre favori et ne suivez aucun lien vers de prétendus remboursements reçus par messagerie, courriel ou en réponse sur X.
3. Révoquer les autorisations : contrôlez avec un outil comme Revoke.cash quels contrats votre portefeuille a autorisés pour l’USDG et d’autres jetons, et révoquez les autorisations illimitées dont vous n’avez pas besoin actuellement.
4. Limiter le capital de négociation : ne laissez sur un perp DEX que le montant nécessaire à vos positions ouvertes et à leurs garanties, et transférez le reste vers votre propre portefeuille.
5. Ignorer les jetons inconnus : ne touchez à aucun jeton inconnu ni à aucun prétendu airdrop d’indemnisation apparu dans votre portefeuille après l’incident, car cette escroquerie suit souvent les piratages.

Notre guide pour conserver ses cryptos en sécurité explique les bases d’une conservation sûre, et notre comparatif des portefeuilles matériels passe en revue les appareils adaptés.

Contrats perpétuels et MiCA : la protection des investisseurs européens

Les contrats perpétuels sont des produits dérivés. Le règlement européen MiCA encadre les prestataires de services sur crypto-actifs tels que plateformes, courtiers et dépositaires, tandis que les dérivés sur crypto-actifs relèvent du droit européen des valeurs mobilières, la directive MiFID II. Une plateforme décentralisée sans exploitant dans l’Union européenne ne relève, en règle générale, d’aucun de ces deux régimes. Il n’existe donc ni agrément d’un régulateur comme la BaFin allemande, ni obligation de ségrégation des fonds des clients, ni voie de réclamation auprès d’une autorité nationale.

Pour négocier avec effet de levier, deux voies s’offrent à vous. Sur un perp DEX, vous gardez le contrôle de votre portefeuille, mais vous supportez le risque d’erreurs dans le code et dans la comptabilité, comme le montre le cas Arcus. Chez un prestataire réglementé agréé dans l’Union européenne s’appliquent la supervision, les règles de conservation et, pour les dérivés, des plafonds de levier pour les clients particuliers. Notre panorama des plateformes crypto réglementées recense celles qui disposent d’un agrément au titre de MiCA.

Quelle que soit la voie choisie, une règle vaut pour la négociation à effet de levier : la liquidation intervient lorsque la garantie déposée ne couvre plus les pertes d’une position. La plateforme clôture alors la position d’office. Si une plateforme comme Arcus suspend les retraits, les positions ouvertes continuent de courir et vous ne pouvez pas apporter de garanties de l’extérieur tant que le pont est à l’arrêt. Prévoyez donc une marge de sécurité confortable.

Arcus : sans analyse des causes, seul le capital actif doit y rester

Arcus a réagi vite et a supporté lui-même le préjudice. Restent en suspens la cause exacte, l’issue du traçage des fonds et la question de savoir si des auditeurs indépendants ont depuis réexaminé le code. D’ici là, la prudence s’impose quant au capital laissé sur la plateforme.

1. Comparer les plateformes : notre comparatif des perp DEX montre quels acteurs présentent des rapports d’audit, des plafonds de retrait et une page de statut publique.
2. Envisager une solution réglementée : si la supervision et les règles de conservation comptent davantage pour vous que la détention de votre propre portefeuille, vous trouverez des prestataires agréés parmi les plateformes crypto réglementées.
3. Externaliser le long terme : ce que vous ne négociez pas activement a sa place dans votre propre portefeuille ; notre comparatif des portefeuilles matériels présente les appareils adaptés.

(Au 11 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)