Exploit en FOX Colony de ShapeShift
La firma de seguridad blockchain Blockaid ha detectado un exploit activo en un contrato inteligente que ha drenado 132,700 dólares de la FOX Colony de ShapeShift en Arbitrum. Blockaid alertó sobre el incidente en X el 13 de mayo, identificando la billetera del atacante como 0xeed236Afb6967f74099a0a6bf078BC6b865fbf28.
Detalles del Incidente
La FOX Colony es el programa de gobernanza y participación comunitaria de ShapeShift, que permite a los poseedores de tokens FOX participar en actividades del ecosistema a través de contratos de Colony Network en Arbitrum. Según el análisis de Blockaid, la vulnerabilidad se encuentra en la función executeMetaTransaction.
El atacante firmó meta-transacciones de forma dirigida, redirigió el resolutor de la colonia a un contrato malicioso y luego utilizó una llamada delegada para drenar los fondos. Dado que cualquier dirección externa puede invocar la función de registro afectada sin modificadores de permiso, la falla es, en efecto, equivalente a hacer que una copia de la clave del protocolo esté disponible para cualquier atacante que la descubra.
Advertencias de Blockaid
Blockaid advirtió a la comunidad DeFi en general que cada colonia de Colony Network que exponga
executeMetaTransactionsobreEtherRouter, en cualquier cadena, comparte la misma superficie de ataque potencial.
Hasta el momento de redactar este informe, ShapeShift no había emitido una declaración pública sobre el exploit. Esta advertencia se suma a una difícil racha para la seguridad DeFi en 2026.
Historial de Exploits en DeFi
Blockaid había señalado previamente un exploit de 5 millones de dólares en Wasabi Protocol a través de Ethereum y Base en abril, donde se utilizó una clave de administrador comprometida para drenar múltiples contratos de bóveda. A principios de mayo, Blockaid identificó un exploit de 6.7 millones de dólares en TrustedVolumes, un proveedor de liquidez DeFi que sirve a 1inch y otros agregadores.
Abril de 2026 registró el peor mes para exploits DeFi en la historia, con aproximadamente 625 millones de dólares drenados en 28 incidentes separados. La firma también advirtió a los usuarios de CoW Swap en abril sobre un secuestro de frontend, donde los atacantes comprometieron el sitio del proyecto para servir mensajes de transacción maliciosos.
Sobre Blockaid
Blockaid analiza más de 500 millones de transacciones blockchain al mes y proporciona infraestructura de seguridad a Coinbase, MetaMask, Uniswap y OKX.
