- PeckShield a signalé une activité suspecte sur Shibarium qui a conduit à une exploitation de 2,8 M$ via des clés de validateur compromises sur Shibaswap.
- L'attaquant a utilisé un flash loan de 4,6 M BONE pour obtenir la majorité du pouvoir des validateurs, vidant l'ETH et le SHIB du pont.
- Les développeurs de Shiba Inu ont confirmé une enquête, tandis que les critiques ont pointé du doigt des failles de gouvernance et remis en question la décentralisation de Shibarium.
Le cabinet de sécurité blockchain PeckShield a trouvé une activité suspecte sur Shibarium vendredi soir. Les enquêteurs en sécurité ont trouvé des clés de validateur fuitées sur Shibaswap qui ont conduit à une perte estimée à 2,8 millions de dollars via des retraits de tokens Shib.
L’équipe Shiba Inu a posté sur X vers 21h00 UTC, disant qu’elle « était au courant de l’activité signalée par PeckShield », et avait contacté à la fois les développeurs internes et les partenaires de sécurité externes pour enquêter sur l’exploitation.
« Pour le moment, nous travaillons à confirmer la cause racine et à nous assurer que toutes les mesures d’atténuation possibles sont en place. Un rapport complet avec les conclusions et les prochaines étapes sera publié une fois l’enquête terminée », a écrit l’équipe Shiba Inu.
10 des 12 validateurs SHIB ont approuvé des transactions malveillantes
L’auditeur web2 et web3 Tikkala Security a confirmé qu’un attaquant avait piraté le système de token de Shiba Inu en soumettant des demandes de sortie de feuilles Merkle valides signées par plusieurs validateurs. L’adresse du portefeuille de l’attaquant a retiré des fonds à plusieurs reprises en contournant les protections destinées à sauvegarder le gestionnaire de chaîne racine.
Selon les données d’Etherscan, le adresse détient maintenant plus de 700,000 en jetons ERC-20.
« L’attaque semble impliquer que 10 clés de signature de validateurs Shibarium sur 12 ont été compromises, ce qui a permis d’approuver un état racine malveillant », a expliqué Tikkala, fournissant des images des événements. Seuls les validateurs exploités par K9 Finance et UnificationUND ont été confirmés comme s’étant retirés de la signature de la transaction malveillante.
L’attaque est originaire d’un point de contrôle compromis, où un Merkle racine apparemment légitime a été inséré. Les données blockchain d’Etherscan montrent qu’une fois le racine malveillant ajouté, l’attaquant a vidé un autre 1 million de dollars via une transaction importante ultérieure.
3/ Le contrat rootchain manager de Shibaswap https://t.co/Qgshvoiwbt utilise le hash Merkle racine stocké dans chaque point de contrôle. D’une manière ou d’une autre, une attaque pourrait ajouter un hash racine de point de contrôle « légitime » avec des signatures de 10 signataires. pic.twitter.com/SvGYxuOyx3
— Tikkala Security (@TikkalaResearch) 12 septembre 2025
Les enquêteurs ont également découvert que l’attaquant avait utilisé un prêt flash de Shibaswap pour emprunter 4,6 millions de tokens BONE. Initialement salué par certains comme un gros achat de 1 million de dollars de BONE, il faisait partie de l’exploitation. Après avoir acquis temporairement les tokens, l’attaquant a obtenu le pouvoir de vote majoritaire sur les validateurs de Shibarium, leur permettant d’approuver un état malveillant sur le réseau.
Dans la même transaction, l’attaquant a remboursé le prêt flash en liquidant les actifs pris sur le pont. Il a vendu les tokens Shiba Inu et Ether obtenus lors de l’exploitation pour couvrir les fonds empruntés, et a vidé 224,57 Ether et environ 92,6 milliards de tokens Shiba Inu. De ce montant, 216 Ethereum a été utilisé pour régler le prêt flash, laissant le reste en tant que profit.
Le contrat rootchain manager de Shibaswap, qui vérifie les retraits par rapport aux hashes Merkle racine stockés, donne à l’attaquant la latitude de manipuler les demandes de retrait indéfiniment, et les pertes pourraient continuer si l’équipe Shibarium n’agit pas bientôt.
Tous les problèmes pointent vers la gouvernance
Les détracteurs sur X soutiennent que Shiba Inu a une « décentralisation factice », car d’autres protocoles ont fait face aux mêmes problèmes de domination des validateurs sans perdre de fonds.
« Les développeurs de Qom ont vu ce problème dans QL1 également. Quelqu’un a essayé de saboter le réseau en contrôlant 60 % des validateurs. Mais les développeurs de QL1 ont rapidement supprimé l’acteur malveillant. Les développeurs de Shiba Inu et Shibarium n’ont pas fait de même », a résumé un critique.
Malgré la brèche de sécurité, le token de Shiba Inu était négocié à 0,00001416 $ au moment de cette publication, en hausse de 0,50 % au cours de la dernière heure et de 5,25 % au cours des dernières 24 heures.
La capitalisation boursière du token a enregistré une augmentation de 5,24 %, atteignant 8,26 milliards de dollars. Selon l’analyse de Cryptopolitan de septembre, Shiba Inu fait face à un test critique à sa moyenne mobile exponentielle sur 200 jours de 0,0000138 $. Une cassure décisive pourrait pousser les prix vers la fourchette de 0,000020 $ à 0,000024 $, tandis qu’un échec à ce niveau signifie plus de consolidations et des tirages négatifs des prix.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
