- PeckShield ha segnalato attività sospetta su Shibarium che ha portato a un exploit da $2,8M attraverso chiavi di validatori compromesse su Shibaswap.
- L'attaccante ha utilizzato un flash loan di 4,6M BONE per acquisire la maggioranza del potere dei validatori, drenando ETH e SHIB dal bridge.
- Gli sviluppatori di Shiba Inu hanno confermato un'indagine, mentre i critici hanno evidenziato difetti nella governance e messo in dubbio la decentralizzazione di Shibarium.
L'azienda di sicurezza blockchain PeckShield ha trovato attività sospette su Shibarium nella tarda giornata di venerdì. Gli investigatori di sicurezza hanno trovato chiavi di validatori trapelate su Shibaswap che hanno portato a una perdita stimata di $2,8 milioni attraverso prelievi di token SHIB.
Il team Shiba Inu ha pubblicato su X intorno alle 21:00 UTC, dicendo di "essere a conoscenza dell'attività segnalata da PeckShield" e di aver contattato sia gli sviluppatori interni che i partner di sicurezza esterni per indagare sull'exploit.
"Al momento, stiamo lavorando per confermare la causa radice e garantire che tutte le possibili mitigazioni siano in atto. Un rapporto completo con risultati e prossimi passi sarà pubblicato una volta conclusa l'indagine", ha scritto il team Shiba Inu.
10 di 12 validatori SHIB hanno approvato transazioni malevole
L'auditor web2 e web3 Tikkala Security ha confermato che un attaccante ha hackerato il sistema token di Shiba Inu inviando richieste di uscita delle foglie Merkle valide firmate da più validatori. L'indirizzo del portafoglio dell'attaccante ha prelevato fondi in diverse occasioni aggirando le protezioni destinate a salvaguardare il gestore della catena radice.
Secondo i dati di Etherscan, il indirizzo ora detiene oltre $700,000 di token ERC-20.
"L'hack sembra coinvolgere 10 chiavi di firma dei validatori Shibarium su 12 compromesse, il che ha permesso l'approvazione di uno stato radice malevolo", ha spiegato Tikkala, fornendo immagini degli eventi. Solo i validatori gestiti da K9 Finance e UnificationUND sono stati confermati essersi ritirati dalla firma della transazione malevola.
L'attacco è originato da un checkpoint compromesso, dove un apparente Merkle root legittimo è stato inserito. I dati blockchain da Etherscan mostrano che una volta aggiunto il root malevolo, l'attaccante ha drenato un altro $1 milione attraverso una transazione successiva di grandi dimensioni.
3/ Il contratto rootchain manager di Shibaswap https://t.co/Qgshvoiwbt utilizza l'hash Merkle radice memorizzato in ogni checkpoint. In qualche modo, un attacco potrebbe aggiungere un hash radice del checkpoint "legittimo" con firme da 10 firmatari. pic.twitter.com/SvGYxuOyx3
— Tikkala Security (@TikkalaResearch) 12 settembre 2025
Gli investigatori hanno anche scoperto che l'attaccante ha utilizzato un prestito flash da Shibaswap per prendere in prestito 4,6 milioni di token BONE. Inizialmente celebrato da alcuni come un grande acquisto di BONE da $1 milione, era invece parte dell'exploit. Dopo aver acquisito temporaneamente i token, l'attaccante ha ottenuto il potere di voto maggioritario sui validatori di Shibarium, consentendo loro di approvare uno stato malevolo sulla rete.
Nella stessa transazione, l'attaccante ha rimborsato il prestito flash liquidando le attività prese dal bridge. Ha venduto token Shiba Inu ed Ether ottenuti durante l'exploit per coprire i fondi presi in prestito, e ha drenato 224,57 Ether e circa 92,6 miliardi di token Shiba Inu. Di questa quantità, 216 Ether è stato utilizzato per saldare il prestito flash, lasciando il resto come profitto.
Il contratto rootchain manager di Shibaswap, che verifica i prelievi contro gli hash Merkle radice memorizzati, dà all'attaccante la libertà di manipolare le richieste di prelievo indefinitamente, e le perdite potrebbero continuare se il team di Shibarium non agisce presto.
Tutti i problemi puntavano verso la governance
I critici su X sostengono che Shiba Inu abbia una "decentralizzazione fittizia", perché altri protocolli hanno affrontato gli stessi problemi di dominanza dei validatori senza perdere fondi.
"Gli sviluppatori di Qom hanno visto questo problema anche in QL1. Qualcuno ha cercato di sabotare la rete controllando il 60% dei validatori. Ma gli sviluppatori di QL1 hanno rimosso rapidamente il cattivo attore. Gli sviluppatori di Shiba Inu e Shibarium non hanno fatto lo stesso", ha riassunto un critico.
Nonostante la violazione della sicurezza, il token di Shiba Inu era scambiato a $0,00001416 al momento di questa pubblicazione, in aumento dello 0,50% nell'ultima ora e del 5,25% nelle ultime 24 ore.
La capitalizzazione di mercato del token ha registrato un aumento del 5,24%, raggiungendo $8,26 miliardi. Secondo l'analisi di Cryptopolitan di settembre, Shiba Inu affronta un prova critico alla sua media mobile esponenziale a 200 giorni di $0,0000138. Un breakout decisivo potrebbe spingere i prezzi verso la fascia $0,000020 - $0,000024, mentre il fallimento a questo livello significa ulteriori consolidamenti e ritiri di prezzo negativi.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Florence Muchai
Florence si occupa di notizie relative a criptovalute, gaming, tecnologia e AI da oltre 6 anni. I suoi studi in Informatica presso l'Università Meru di Scienze e Tecnologia e in Gestione delle Emergenze e Diplomazia Internazionale presso il MMUST le hanno fornito eccellenti competenze linguistiche, osservative e tecniche. Florence ha lavorato al VAP Group e come editor per diverse testate specializzate in criptovalute.
