Matcha Meta зазнала витоку $16,8 мільйона в результаті експлойту SwapNet

Децентралізована торгова платформа Matcha Meta переживає наслідки серйозного інциденту безпеки, пов'язаного з її смартконтрактами SwapNet, який призвів до крадіжки активів на суму приблизно 16,8 мільйонів доларів.

Компанія з безпеки блокчейну PeckShield першою виявила експлойт, розкривши, що зловмисник швидко конвертував значну частину вкрадених коштів в Ethereum, перш ніж почати переміщувати активи через кросчейн міст.

Порушення спричинило негайне відключення уражених смартконтрактів, оскільки Matcha Meta поспішала запобігти подальшим втратам. Смартконтракти SwapNet тепер тимчасово вимкнено, а прямі дозволи агрегатора видалено по всій платформі.

Хоча розслідування все ще тривають, залишається незрозумілим, чи були відновлені будь-які кошти користувачів.

Інцидент знову підкреслює зростаючі ризики, пов'язані з постійними схваленнями токенів та складною інфраструктурою агрегаторів у DeFi (Децентралізовані фінанси).

Зловмисник конвертує мільйони на Base перед переміщенням до Ethereum

Ончейн дані показують, що експлойт розгортався швидко.

Зловмисник зосередився на Base, де приблизно 10,5 мільйонів доларів в USDT було обміняно приблизно на 3 655 ETH за короткий проміжок часу. Після завершення конвертації кошти швидко переміщено до Ethereum, популярного маршруту відмивання через глибшу ліквідність та ширшу інфраструктуру DeFi (Децентралізовані фінанси).

Цей шаблон відображає багато недавніх експлойтів DeFi (Децентралізовані фінанси), де зловмисники:

• Виводять активи зі смартконтрактів

• Конвертують у високоякісні токени, такі як ETH

• Переміщують кошти через мережі

• Приховують сліди, використовуючи децентралізовані протоколи

Швидкість виконання свідчить про те, що зловмисник був добре підготовлений і, ймовірно, уважно стежив за поведінкою смартконтракту SwapNet перед ударом.

Аналітики з безпеки продовжують відстежувати рухи гаманців, оскільки кошти розподіляються по адресах на основі Ethereum.

Смартконтракти SwapNet вимкнено у зв'язку з початком екстреного реагування

Matcha Meta швидко відреагувала, як тільки експлойт з'явився.

Команда підтвердила, що всі смартконтракти SwapNet були тимчасово вимкнені, а дозволи агрегатора, безпосередньо пов'язані з Matcha Meta, були видалені в якості запобіжного заходу.

Ця екстрена дія спрямована на запобігання будь-яким подальшим несанкціонованим переказам, поки команди безпеки аналізують порушення.

Однак відключення смартконтрактів не скасовує транзакції, вже виконані ончейн, що означає, що вкрадені кошти, ймовірно, неможливо відновити, якщо тільки централізовані офчейн шляхи не заморозять активи пізніше в процесі відмивання.

Поки що Matcha Meta не підтвердила, чи будуть розгорнуті страхові фонди, відшкодування або зусилля з відновлення для постраждалих користувачів.

Платформа закликала всіх користувачів негайно переглянути та відкликати існуючі схвалення токенів, пов'язані з агрегаторами.

Постійні схвалення токенів визначено як основний ризик

Експлойт знову виявив один із найнебезпечніших недоліків дизайну DeFi (Децентралізовані фінанси): необмежені схвалення токенів.

Багато користувачів надають постійні дозволи агрегаторам та смартконтрактам для зручності при обміні токенів. Хоча це зменшує труднощі, це також створює постійну вразливість.

Як тільки зловмисник отримує доступ до скомпрометованого смартконтракту або шляху експлойту, він може миттєво вивести затверджені гаманці без потреби в подальших підписах користувача.

Хто перебуває під найбільшим ризиком:

• Користувачі з довгостроковими схваленнями агрегаторів

• Гаманці, які обходять системи одноразового схвалення

• Трейдери, що взаємодіють з новішими смартконтрактами

Експерти з безпеки тепер наголошують, що необмежених схвалень слід повністю уникати, особливо при використанні експериментальної інфраструктури DeFi (Децентралізовані фінанси).

Matcha Meta спеціально порадила користувачам відкликати будь-які схвалення, пов'язані з SwapNet та іншими агрегаторами поза рамками одноразового схвалення 0x.

Користувачів закликають відкликати дозволи та перейти на одноразові схвалення

Після експлойту термінові рекомендації щодо безпеки поширюються в крипто-спільнотах.

Рекомендовані дії включають:

• Негайно відкликати всі схвалення токенів, пов'язані з Matcha Meta та SwapNet

• Переглянути дозволи гаманця в блокчейн провідниках або інструментах управління схваленнями

• Використовувати одноразові схвалення при кожному обміні токенів

• Взаємодіяти лише з перевіреними та аудитованими агрегаторами

Одноразові схвалення гарантують, що смартконтракти можуть отримувати доступ до токенів лише для однієї транзакції, а не безстроково.

Цей підхід значно знижує ризик, навіть якщо протокол пізніше буде скомпрометовано.

Оскільки діяльність DeFi (Децентралізовані фінанси) стає все більш складною, управління дозволами все більше стає таким же важливим, як і безпека приватного ключа.

Експлойти DeFi продовжують зростати, оскільки методи атак стають більш витонченими

Інцидент Matcha Meta додається до зростаючого списку високовартісних порушень DeFi (Децентралізовані фінанси) у 2025 та на початку 2026 року.

Замість простих помилок смартконтрактів, багато сучасних експлойтів тепер включають:

• Зловживання дозволами

• Слабкості маршрутизації агрегаторів

• Вразливості кросчейн мостів

• Маніпуляції з ліквідністю

Зловмисники більше не покладаються виключно на помилки кодування, вони використовують те, як користувачі взаємодіють з протоколами з часом.

Необмежені схвалення, багаторівневі системи смартконтрактів та мультичейн інфраструктура створюють розширювану поверхню атак, якою хакери все більш вміло керують.

Компанії з безпеки неодноразово попереджали, що в міру масштабування DeFi (Децентралізовані фінанси), управління ризиками на стороні користувача має покращуватися разом з аудитом протоколів.

Без кращих стандартів схвалення, захисту на рівні гаманця та вбудованих лімітів транзакцій подібні інциденти, ймовірно, продовжуватимуться.

Суворе нагадування для користувачів DeFi та платформ

Експлойт SwapNet на 16,8 мільйонів доларів є ще одним болісним нагадуванням про те, що зручність у DeFi (Децентралізовані фінанси) часто обходиться ціною безпеки.

Для користувачів постійні схвалення можуть непомітно перетворити гаманці на відкриті сховища.

Для платформ складні системи агрегаторів створюють вектори ризику, які вимагають постійного моніторингу та швидких можливостей реагування.

Хоча децентралізовані фінанси продовжують рух до масового впровадження, кожен експлойт сповільнює довіру, посилює регуляторний тиск та підкреслює потребу в безпечнішій інфраструктурі.

Поки системи схвалення не стануть більш захищеними користувачами за замовчуванням, відповідальність продовжуватиме значною мірою покладатися на окремих осіб для захисту своїх гаманців.

Наразі повідомлення в криптосфері ясне:

• Відкликайте старі схвалення.
• Використовуйте одноразові дозволи.
• Ставтеся до доступу смартконтрактів як до приватних ключів.

Тому що в DeFi (Децентралізовані фінанси), одне забуте схвалення може коштувати мільйонів.

Розкриття інформації: це не є порадою щодо торгівлі чи інвестицій. Завжди проводьте власне дослідження перед купівлею будь-якої криптовалюти або інвестуванням у будь-які послуги.

Слідкуйте за нами в Twitter @nulltxnews щоб бути в курсі останніх новин про криптовалюти, NFT, AI, кібербезпеку, розподілені обчислення та Метавсесвіт!