Exploitation d’un contrat intelligent sur Arbitrum
La société de sécurité blockchain Blockaid a signalé une exploitation active d’un contrat intelligent ayant drainé 132 700 $ de la FOX Colony de ShapeShift sur Arbitrum. L’incident a été rapporté sur X le 13 mai, avec l’identification du portefeuille de l’attaquant à l’adresse 0xeed236Afb6967f74099a0a6bf078BC6b865fbf28.
Fonctionnalité vulnérable
La FOX Colony est le programme de gouvernance et de participation communautaire de ShapeShift, permettant aux détenteurs de jetons FOX de miser, voter et s’engager dans des activités de l’écosystème via des contrats Colony Network sur Arbitrum. Selon l’analyse de Blockaid, la vulnérabilité se situe dans la fonction executeMetaTransaction.
L’attaquant a méta-signé une transaction ciblée, redirigé le résolveur de la colonie vers un contrat malveillant, puis utilisé un appel délégué pour vider les fonds.
Étant donné que n’importe quelle adresse externe peut appeler la fonction d’enregistrement affectée sans modificateurs de permission, cette faille équivaut à rendre une copie de la clé du protocole accessible à tout attaquant qui la découvre.
Alerte à la communauté DeFi
Blockaid a alerté la communauté DeFi plus large que chaque colonie du Colony Network exposant executeMetaTransaction sur EtherRouter, sur n’importe quelle chaîne, partage le même potentiel de surface d’attaque. Au moment de la rédaction, ShapeShift n’avait pas encore émis de déclaration publique concernant cette exploitation.
Contexte de sécurité DeFi
Cet avertissement survient à une période difficile pour la sécurité DeFi en 2026. Blockaid avait précédemment signalé une exploitation de 5 millions de dollars sur le Wasabi Protocol sur Ethereum et Base en avril, où une clé d’administrateur compromise avait été utilisée pour vider plusieurs contrats de coffre. Plus tôt en mai, Blockaid a identifié une exploitation de 6,7 millions de dollars sur TrustedVolumes, un fournisseur de liquidité DeFi servant 1inch et d’autres agrégateurs.
Avril 2026 a enregistré le pire mois pour les exploitations DeFi de l’histoire, avec environ 625 millions de dollars drainés à travers 28 incidents distincts. La société a également averti les utilisateurs de CoW Swap en avril d’un détournement de frontend, où des attaquants ont compromis le site du projet pour servir des invites de transaction malveillantes.
Blockaid examine plus de 500 millions de transactions blockchain par mois et fournit une infrastructure de sécurité à Coinbase, MetaMask, Uniswap et OKX.
