- PeckShield marcó actividad sospechosa en Shibarium que llevó a una vulneración de $2.8M a través de claves de validador comprometidas en Shibaswap.
- El atacante utilizó un préstamo flash de 4,6 millones de BONE para obtener el poder mayoritario como validador, drenando ETH y SHIB del puente.
- Los desarrolladores de Shiba Inu confirmaron una investigación, mientras que los críticos señalaron fallas en la gobernanza y cuestionaron la descentralización de Shibarium.
La firma de seguridad blockchain PeckShield encontró actividad sospechosa en Shibarium el viernes por la noche. Los investigadores de seguridad encontraron claves de validador filtradas en Shibaswap que llevaron a una pérdida estimada de $2.8 millones a través de retiros de tokens SHIB.
El equipo de Shiba Inu publicó en X alrededor de las 9:00 PM UTC, diciendo que “era consciente de la actividad marcada por PeckShield”, y había contactado tanto a desarrolladores internos como a socios de seguridad externos para investigar la vulnerabilidad.
“En este momento, estamos trabajando para confirmar la causa raíz y asegurar que todas las mitigaciones posibles estén en su lugar. Se publicará un informe exhaustivo con hallazgos y próximos pasos una vez que concluya la investigación”, escribió el equipo de Shiba Inu.
10 de 12 validadores de SHIB aprobaron transacciones maliciosas
El auditor de Web2 y web3 Tikkala Security ha confirmado que un atacante hackeó el sistema de tokens de Shiba Inu presentando solicitudes válidas de salida de hojas Merkle firmadas por múltiples validadores. La dirección de billetera del atacante retiró fondos en varias ocasiones eludiendo las protecciones destinadas a salvaguardar el gestor de la root chain.
Según los datos de Etherscan, el y posteriormente transferidos nuevamente a una billetera etiquetada como ' ahora posee más de $700,000 en tokens ERC-20.
“El hack parece involucrar a 10 de las 12 claves de firma de validadores de Shibarium comprometidas, lo que permitió aprobar un estado raíz malicioso”, explicó Tikkala, proporcionando imágenes de los eventos. Solo se ha confirmado que los validadores operados por K9 Finance y UnificationUND se han alejado de firmar la transacción maliciosa.
El ataque se originó en un punto de control comprometido, donde se insertó una raíz Merkle aparentemente legítima. Los datos blockchain de Etherscan muestran que una vez que se agregó la raíz maliciosa, el atacante drenó otro $1 millón a través de una transacción grande posterior.
3/ El contrato del gestor de la rootchain de Shibaswap https://t.co/Qgshvoiwbt utiliza el hash Merkle raíz almacenado en cada punto de control. De alguna manera, un ataque podría agregar un hash raíz de punto de control "legítimo" con firmas de 10 firmantes. pic.twitter.com/SvGYxuOyx3
— Tikkala Security (@TikkalaResearch) 12 de septiembre de 2025
Los investigadores también descubrieron que el atacante utilizó un préstamo flash de Shibaswap para tomar prestados 4.6 millones de tokens BONE. Inicialmente celebrado por algunos como una gran compra de $1 millón de BONE, en realidad fue parte de la vulnerabilidad. Después de adquirir temporalmente los tokens, el atacante obtuvo la mayoría del poder de votación sobre los validadores de Shibarium, lo que les permitió aprobar un estado malicioso en la red.
En la misma transacción, el atacante reembolsó el préstamo flash liquidando los activos tomados del puente. Vendieron tokens de Shiba Inu y Ether obtenidos durante la vulnerabilidad para cubrir los fondos prestados, y drenaron 224.57 Ether y aproximadamente 92.6 mil millones de tokens de Shiba Inu. De esta cantidad, 216 Ether se utilizó para liquidar el préstamo flash, dejando el resto como ganancia.
El contrato del gestor de la rootchain de Shibaswap, que verifica los retiros contra los hashes Merkle raíz almacenados, da al atacante la libertad de manipular las solicitudes de retiro indefinidamente, y las pérdidas podrían continuar si el equipo de Shibarium no actúa pronto.
Todos los problemas apuntaban hacia la gobernanza
Los escépticos en X argumentan que Shiba Inu tiene “descentralización falsa”, porque otros protocolos han enfrentado los mismos problemas de dominancia de validadores sin perder fondos.
“Los desarrolladores de Qom vieron este problema en QL1 también. Alguien intentó sabotear la red controlando el 60% de los validadores. Pero los desarrolladores de QL1 eliminaron rápidamente al actor malicioso. Los desarrolladores de Shiba Inu y Shibarium no lograron hacer lo mismo”, concluyó un crítico.
A pesar de la violación de seguridad, el token de Shiba Inu se negociaba a $0.00001416 en el momento de esta publicación, un aumento del 0.50% en la última hora y del 5.25% en las últimas 24 horas.
La capitalización de mercado del token vio un aumento del 5.24%, alcanzando los $8.26 mil millones. Según el análisis de Cryptopolitan de septiembre, Shiba Inu enfrenta un prueba crítico en su media móvil exponencial de 200 días de $0.0000138. Una ruptura decisiva podría empujar los precios hacia el rango de $0.000020 a $0.000024, mientras que el fracaso en este nivel significa más consolidaciones y caídas de precios negativas.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
