- A PeckShield sinalizou atividade suspeita no Shibarium que levou a uma exploração de US$ 2,8 milhões através de chaves de validador comprometidas no Shibaswap.
- O atacante utilizou um flash loan de 4,6M BONE para obter a maioria do poder dos validadores, drenando ETH e SHIB da ponte.
- Os desenvolvedores da Shiba Inu confirmaram uma investigação, enquanto críticos apontaram falhas na governança e questionaram a descentralização do Shibarium.
A empresa de segurança blockchain PeckShield encontrou atividade suspeita no Shibarium na noite de sexta-feira. Investigadores de segurança encontraram chaves de validador vazadas no Shibaswap que levaram a uma perda estimada de US$ 2,8 milhões através de retiradas de tokens Shib.
A equipe da Shiba Inu postou no X por volta das 21h00 UTC, dizendo que "estava ciente da atividade sinalizada pela PeckShield" e havia contatado desenvolvedores internos e parceiros de segurança externos para investigar a exploração.
"Neste momento, estamos trabalhando para confirmar a causa raiz e garantir que todas as mitigações possíveis estejam em vigor. Um relatório abrangente com descobertas e próximos passos será publicado assim que a investigação for concluída", escreveu a equipe da Shiba Inu.
10 de 12 validadores SHIB aprovaram transações maliciosas
O auditor web2 e web3 Tikkala Security confirmou que um atacante invadiu o sistema de tokens da Shiba Inu enviando solicitações válidas de saída de folhas Merkle assinadas por vários validadores. O endereço de carteira do atacante retirou fundos em várias ocasiões, contornando as proteções destinadas a salvaguardar o gerenciador da raiz da cadeia.
De acordo com os dados do Etherscan, o endereç agora detém mais de US$ 700,000 em tokens ERC-20.
"O hack parece envolver 10 das 12 chaves de assinatura de validador do Shibarium sendo comprometidas, o que permitiu que um estado raiz malicioso fosse aprovado", explicou a Tikkala, fornecendo imagens dos eventos. Apenas os validadores operados pela K9 Finance e UnificationUND foram confirmados como tendo se afastado de assinar a transação maliciosa.
O ataque originou-se de um checkpoint comprometido, onde uma raiz Merkle aparentemente legítima foi inserida. Os dados da blockchain do Etherscan mostram que, assim que a raiz maliciosa foi adicionada, o atacante drenou mais US$ 1 milhão através de uma transação subsequente de grande porte.
3/ O contrato rootchain manager do Shibaswap https://t.co/Qgshvoiwbt usa o hash Merkle raiz armazenado em cada checkpoint. De alguma forma, um ataque poderia adicionar um hash raiz de checkpoint "legítimo" com assinaturas de 10 signatários. pic.twitter.com/SvGYxuOyx3
— Tikkala Security (@TikkalaResearch) 12 de setembro de 2025
Os investigadores também descobriram que o atacante usou um empréstimo flash do Shibaswap para pegar emprestados 4,6 milhões de tokens BONE. Inicialmente celebrado por alguns como uma grande compra de US$ 1 milhão em BONE, na verdade fazia parte da exploração. Após adquirir temporariamente os tokens, o atacante ganhou poder de voto majoritário sobre os validadores do Shibarium, permitindo-lhes aprovar um estado malicioso na rede.
Na mesma transação, o atacante reembolsou o empréstimo flash liquidando os ativos retirados da ponte. Eles venderam tokens Shiba Inu e Ether obtidos durante a exploração para cobrir os fundos emprestados e drenaram 224,57 Ether e aproximadamente 92,6 bilhões de tokens Shiba Inu. Desse montante, 216 Ether foram usados para liquidar o empréstimo flash, deixando o restante como lucro.
O contrato rootchain manager do Shibaswap, que verifica as retiradas contra os hashes Merkle raiz armazenados, dá ao atacante margem para manipular solicitações de retirada indefinidamente, e as perdas podem continuar se a equipe do Shibarium não agir em breve.
Todos os problemas apontavam para governança
Céticos no X estão argumentando que a Shiba Inu tem "descentralização falsa", porque outros protocolos enfrentaram os mesmos problemas de dominância de validadores sem perder fundos.
"Os desenvolvedores da Qom viram esse problema no QL1 também. Alguém tentou sabotar a rede controlando 60% dos validadores. Mas os desenvolvedores do QL1 removeram rapidamente o ator mal-intencionado. Os desenvolvedores da Shiba Inu e do Shibarium não fizeram o mesmo", resumiu um crítico.
Apesar da violação de segurança, o token da Shiba Inu estava sendo negociado a US$ 0,00001416 no momento desta publicação, alta de 0,50% na última hora e 5,25% nas últimas 24 horas.
A capitalização de mercado do token viu um aumento de 5,24%, atingindo US$ 8,26 bilhões. De acordo com a análise de setembro da Cryptopolitan, a Shiba Inu enfrenta um ponto crítico teste em sua média móvel exponencial de 200 dias de US$ 0,0000138. Um rompimento decisivo poderia empurrar os preços em direção à faixa de US$ 0,000020 a US$ 0,000024, enquanto a falha neste nível significa mais consolidações e puxões de preço negativos.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
