5 min
Il ponte Plasma di Shibarium ha riaperto i battenti per i trasferimenti di token BONE, segnando la fine di un blocco operativo durato oltre un mese. La ripresa del servizio arriva dopo un attacco informatico che a metà settembre aveva costretto il team di sviluppo a sospendere tutte le operazioni di deposito e prelievo tra la blockchain di Ethereum e la rete di secondo livello dell'ecosistema Shiba Inu. La vicenda ha messo in luce vulnerabilità significative nell'architettura di sicurezza del progetto, spingendo gli sviluppatori a implementare misure protettive più robuste prima di permettere nuovamente il flusso di asset digitali.
L'incidente che ha paralizzato Shibarium si è verificato il 12 settembre 2025 alle 18:44 UTC, quando un malintenzionato è riuscito a compromettere le chiavi dei validatori del ponte PoS. Questo accesso non autorizzato ha permesso all'attaccante di forzare prelievi fraudolenti di vari asset attraverso il sistema, sfruttando il potere di firma dei validatori per manipolare le transazioni. Kaal Dhairya, uno dei contributori principali del progetto, aveva descritto l'accaduto in un rapporto dettagliato pubblicato il 21 settembre, specificando che le misure di contenimento erano state attivate immediatamente dopo la scoperta della violazione.
La strategia di rilancio adottata dal team prevede una riapertura graduale e scaglionata dei servizi. Al momento solo BONE può transitare attraverso il ponte Plasma rinnovato, mentre altri token dovranno attendere ulteriori verifiche. Gli sviluppatori hanno spiegato che stanno "finalizzando un quadro di rimborso equo e trasparente per gli utenti colpiti", senza però fornire tempistiche precise per evitare che informazioni dettagliate possano essere sfruttate per nuovi attacchi.
La modifica più evidente per chi utilizza la piattaforma riguarda l'introduzione di un periodo di attesa obbligatorio di sette giorni prima che qualsiasi prelievo di BONE possa essere completato. Questa finestra temporale, spiegano dal team, offre agli operatori e ai responsabili della sicurezza il tempo necessario per monitorare le transazioni e intercettare eventuali comportamenti sospetti prima che i fondi vengano effettivamente trasferiti. Si tratta di un compromesso tra sicurezza e usabilità che riflette l'approccio più cauto adottato dopo la violazione.
Parallelamente, è stato implementato un sistema di blacklisting proattivo degli indirizzi a livello di ponte. Questo meccanismo consente di identificare e bloccare wallet sospetti prima che possano compiere operazioni dannose, prevenendo abusi ripetuti all'interno dell'ecosistema. Tutte le modifiche al codice considerate critiche sono state sottoposte alla revisione esterna di Hexens, società specializzata in sicurezza blockchain, aggiungendo un ulteriore livello di controllo indipendente al processo di sviluppo.
Il processo di validazione che ha preceduto la riapertura è stato particolarmente rigoroso. Gli sviluppatori hanno condotto test unitari, simulazioni complete end-to-end e deploy sulla testnet pubblica denominata "Puppynet". Solo dopo aver monitorato il funzionamento del sistema attraverso diversi intervalli temporali hanno dato il via libera all'attivazione in ambiente di produzione, nel tentativo di evitare qualsiasi ripetizione dell'incidente di settembre.
L'attacco ha coinvolto anche altri token minori dell'ecosistema Shiba Inu. Nel corso della violazione, l'attaccante è riuscito a drenare e vendere circa 600 dollari in token OSCAR dal ponte, mentre ha completamente ignorato un'offerta di recupero da 5 ETH proposta dal team per la restituzione dei token KNINE rubati. Quest'ultimi rimangono ora inseriti in una blacklist, rendendoli inutilizzabili per chi li detiene illegalmente. La taglia precedentemente annunciata per KNINE è scaduta, ma gli sviluppatori stanno preparando "un'ultima offerta condizionale" per il ritorno completo di tutti i token KNINE detenuti da indirizzi controllati dall'attaccante, precisando però che restituzioni parziali non saranno accettate.
Le operazioni di rimedio condotte dietro le quinte durante il mese di blackout sono state estensive. A fine settembre Shibarium aveva dettagliato una serie di interventi che includevano la rotazione dei firmatari validatori, la migrazione del controllo dei contratti verso sistemi di custodia hardware multi-parte, protezioni mirate a livello di smart contract, monitoraggio in tempo reale e coordinamento con gli exchange di criptovalute. Il team aveva anche riconosciuto apertamente le carenze nel livello di decentralizzazione delle operazioni dei validatori, promettendo un piano di rafforzamento in collaborazione con esperti esterni.
Per il pubblico italiano che segue il mondo delle criptovalute, questa vicenda ricorda come anche progetti con una comunità ampia e consolidata possano essere vulnerabili ad attacchi sofisticati. L'ecosistema Shiba Inu, nato inizialmente come meme coin in risposta al successo di Dogecoin, ha progressivamente cercato di costruire un'infrastruttura tecnologica più complessa con Shibarium, una blockchain di secondo livello pensata per ridurre costi e tempi delle transazioni rispetto alla rete principale di Ethereum.
La riapertura del ponte ripristina un canale fondamentale per validatori, fornitori di liquidità e utenti che dipendono dalla possibilità di spostare token BONE tra Ethereum e Shibarium. Il token BONE svolge infatti un ruolo centrale nell'ecosistema come strumento di governance e ricompensa per chi partecipa alla validazione delle transazioni sulla rete. Al momento della pubblicazione, il token principale dell'ecosistema, SHIB, veniva scambiato a 0,00001060 dollari, riflettendo la relativa stabilità dopo le turbolenze del mese precedente.
La postura comunicativa adottata dal team riflette un approccio più prudente rispetto al passato. Nel comunicato del 14 ottobre, gli sviluppatori hanno ribadito il principio guida che orienta la ripresa delle operazioni: "La sicurezza prima di tutto. Non pubblicheremo dettagli specifici che potrebbero essere sfruttati mentre il lavoro sulla sicurezza è in corso. Aspettatevi aggiornamenti misurati e verificabili". Questa trasparenza controllata cerca di bilanciare la necessità di informare la comunità senza fornire munizioni a potenziali aggressori.
Le nuove misure di sicurezza, compresa la finestra di sfida di sette giorni, rappresentano secondo il team una risposta pratica alle condizioni avversarie in cui opera un sistema Plasma. L'architettura Plasma, pensata per scalare Ethereum mantenendo garanzie di sicurezza, si basa proprio sulla possibilità di contestare transazioni sospette entro determinati periodi temporali. L'implementazione di questo meccanismo in Shibarium allinea maggiormente la teoria progettuale con la realtà operativa di una rete esposta a minacce concrete.