Aktiver Smart-Contract-Exploit bei ShapeShift
Die Blockchain-Sicherheitsfirma Blockaid hat einen aktiven Smart-Contract-Exploit gemeldet, der 132.700 US-Dollar aus ShapeShifts FOX Colony auf Arbitrum abzieht. Am 13. Mai machte Blockaid auf X (ehemals Twitter) auf den Vorfall aufmerksam und identifizierte die Wallet des Angreifers unter der Adresse 0xeed236Afb6967f74099a0a6bf078BC6b865fbf28.
Über FOX Colony
FOX Colony ist ShapeShifts Programm zur Gemeinschaftsverwaltung und -beteiligung, das es FOX-Token-Inhabern ermöglicht, zu staken, abzustimmen und an Aktivitäten im Ökosystem über Colony Network-Verträge auf Arbitrum teilzunehmen.
Details des Exploits
Laut Blockaids Analyse liegt die Schwachstelle in der Funktion executeMetaTransaction. Der Angreifer hat eine gezielte Transaktion meta-signiert, den Resolver der Colony auf einen bösartigen Vertrag umgeleitet und dann einen Delegat-Aufruf verwendet, um die Gelder abzuziehen. Da jede externe Adresse die betroffene Registrierungsfunktion ohne Berechtigungsmodifikatoren aufrufen kann, ist der Fehler effektiv gleichbedeutend damit, dass ein Schlüssel des Protokolls für jeden Angreifer, der ihn findet, verfügbar gemacht wird.
Blockaid warnte die breitere DeFi-Community, dass jede Colony Network Colony, die executeMetaTransaction auf EtherRouter exponiert, über alle Chains hinweg die gleiche potenzielle Angriffsfläche teilt.
Reaktionen und weitere Vorfälle
Zum Zeitpunkt der Erstellung dieses Berichts hatte ShapeShift keine öffentliche Erklärung zu dem Exploit abgegeben. Diese Warnung fällt in eine schwierige Phase für die DeFi-Sicherheit im Jahr 2026. Blockaid hatte zuvor im April einen Exploit von 5 Millionen US-Dollar im Wasabi Protocol über Ethereum und Base gemeldet, bei dem ein kompromittierter Admin-Schlüssel verwendet wurde, um mehrere Vault-Verträge abzuziehen. Anfang Mai identifizierte Blockaid einen Exploit von 6,7 Millionen US-Dollar bei TrustedVolumes, einem DeFi-Liquiditätsanbieter, der 1inch und anderen Aggregatoren dient.
Der April 2026 verzeichnete den schlimmsten Monat für DeFi-Exploits in der Geschichte, mit etwa 625 Millionen US-Dollar, die über 28 separate Vorfälle abgezogen wurden. Das Unternehmen warnte auch im April die CoW Swap-Nutzer vor einem Frontend-Hijack, bei dem Angreifer die Website des Projekts kompromittierten, um bösartige Transaktionsaufforderungen anzuzeigen.
Über Blockaid
Blockaid überwacht über 500 Millionen Blockchain-Transaktionen pro Monat und bietet Sicherheitsinfrastruktur für Coinbase, MetaMask, Uniswap und OKX.
