DEX-агрегатор подвергся атаке на сумму $16,8 млн из-за обхода процесса одобрения SwapNet

• Реклама -

Децентрализованный агрегатор обмена Matcha Meta подтвердил инцидент с безопасностью, связанный с интеграцией SwapNet, в результате которого был потерян ориентировочно $16.8 миллионов.

Нарушение было впервые зафиксировано блокчейн-безопасной компанией PeckShield, с последующим техническим анализом, предоставленным CertiK.

Что пошло не так

Согласно данным, предоставленным исследователями безопасности, уязвимость затронула пользователей, которые отключили функцию «Одноразового одобрения» Matcha Meta. Отказавшись от этой функции, пользователи предоставили постоянные разрешения непосредственно контракту маршрутизатора SwapNet, создав поверхность атаки, которая была позже использована.

#PeckShieldAlert Matcha Meta сообщила о нарушении безопасности, связанном с SwapNet. Пользователи, которые отказались от “Одноразовых одобрений”, находятся под угрозой.

На данный момент было изъято ~$16.8M в криптовалюте.

На #Base злоумышленник обменял ~10.5M $USDC на ~3,655 $ETH и начал переводить средства на… pic.twitter.com/6OOJd9cvyF

— PeckShieldAlert (@PeckShieldAlert) 26 января 2026 года

CertiK выявила коренную причину как уязвимость «произвольного вызова» в контракте SwapNet. Этот недостаток позволил злоумышленнику инициировать несанкционированные переводы из кошельков, которые ранее одобрили маршрутизатор, фактически обходя обычные меры безопасности.

Перемещение средств и масштаб

Данные активности в блокчейне показывают, что злоумышленник обменял приблизительно $10.5 миллионов в USDC на Base на около 3,655 ETH, прежде чем перевести активы на Ethereum. Перемещение между цепями, похоже, было задумано для усложнения отслеживания и восстановления усилий по отслеживанию и восстановлению средств.

Важно отметить, что инцидент не затронул всех пользователей Matcha. Подверженность была ограничена кошельками, которые вручную отключили одноразовые одобрения и предоставили прямые разрешения контрактам SwapNet.

                Биткойн обошел золото и серебро в опросе о инвестициях в $100,000

Меры экстренного реагирования

В ответ на уязвимость Matcha Meta предприняла несколько немедленных шагов:

• Контракты SwapNet были приостановлены, чтобы предотвратить дальнейшие потери.
• Пользователей призвали отозвать существующие одобрения, особенно для контракта маршрутизатора SwapNet
  (0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e).
• Платформа убрала возможность отключения одноразовых одобрений, стремясь снизить подобные риски в будущем.

Инцидент подчеркивает компромиссы безопасности, связанные с постоянными одобрениями контрактов, и усиливает важность регулярного пересмотра разрешений, особенно при взаимодействии с агрегаторами и контрактами маршрутизации.