Уязвимость SwapNet приводит к утечке 16,8 млн долларов после ошибки одобрения на Matcha Meta

ETH-0,34%
ARB2,21%
BNB-0,1%

Кратко

  • Уязвимость SwapNet привела к утечке 16,8 млн долларов после того, как пользователи отключили защиту однократных разрешений.
  • Злоумышленник обменял 10,5 млн USDC на ETH на базе перед мостингом в Ethereum.
  • Matcha Meta отключает пострадавшие контракты, поскольку службы безопасности отмечают более широкие риски в DeFi.

Уязвимость безопасности, связанная с SwapNet, привела к потерям около 16,8 миллиона долларов, что затронуло пользователей, взаимодействующих через Matcha Meta. Инцидент в основном коснулся пользователей, отключивших однократные разрешения, что подвергло риску постоянные разрешения токенов.

Компания по безопасности блокчейна PeckShieldAlert выявила уязвимость и проследила начальные перемещения средств. Злоумышленник нацелился на маршрутизаторы SwapNet, которые сохраняли неограниченные разрешения от кошельков пострадавших пользователей.

В сети Base злоумышленник обменял примерно 10,5 миллиона долларов USDC на около 3 655 ETH. Вскоре после этого злоумышленник начал мостить конвертированные активы в основную сеть Ethereum, чтобы усложнить отслеживание.

SwapNet функционирует как маршрутизатор ликвидности, используемый Matcha Meta для определения цен и глубокой ликвидности. Уязвимость заключалась в злоупотреблении существующими разрешениями, а не в взломе приватных ключей или основной инфраструктуры.

Matcha Meta, созданная командой 0x, подтвердила проблему и немедленно отключила пострадавшие контракты SwapNet. Платформа также убрала опцию предоставления прямых разрешений сторонним агрегаторам.

Расследование расширяется, поскольку службы безопасности отмечают более широкие риски

Дальнейший анализ показал, что уязвимость возникла из-за произвольного вызова внутри контрактов SwapNet. Этот недостаток позволял злоумышленникам переводить одобренные токены без запроса новых разрешений.

Компания по безопасности BlockSec сообщила, что несколько контрактов по цепочкам понесли убытки, превышающие 17 миллионов долларов. Пострадавшие сети включали Ethereum, Arbitrum, Base и BNB Chain, что расширяет масштаб инцидента.

Отдельно CertiK оценил, что украдено около 13,3 миллиона долларов USDC в результате связанной деятельности.
Некоторые задействованные контракты оставались закрытыми и неподтвержденными при развертывании.

Позже Matcha Meta подтвердил, что основные контракты 0x не пострадали от инцидента.
Пользователи, полагающиеся на однократные разрешения через инфраструктуру 0x, остались без ущерба.

Инцидент вновь поднял вопрос о постоянных разрешениях токенов в децентрализованных финансах.
Неограниченные разрешения обеспечивают удобство, но увеличивают риск при сбоях смарт-контрактов.

Между тем, исследователь ZachXBT раскритиковал задержку Circle в заморозке оставшихся USDC. Около 3 миллионов долларов, по сообщениям, оставались на адресах, пригодных для заморозки в течение времени реагирования.

Этот взлом добавляет к растущему списку сбоев в безопасности DeFi в начале 2026 года. Данные отрасли показывают, что украденные крипто-средства достигли рекордных уровней за последние годы, что увеличивает давление на практики безопасности протоколов.

ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Информация на этом сайте предоставляется в качестве общего обзора рынка и не является инвестиционной рекомендацией. Мы рекомендуем провести собственное исследование перед инвестированием.
Отказ от ответственности: Информация на этой странице может поступать от третьих лиц и не отражает взгляды или мнения Gate. Содержание, представленное на этой странице, предназначено исключительно для справки и не является финансовой, инвестиционной или юридической консультацией. Gate не гарантирует точность или полноту информации и не несет ответственности за любые убытки, возникшие от использования этой информации. Инвестиции в виртуальные активы несут высокие риски и подвержены значительной ценовой волатильности. Вы можете потерять весь инвестированный капитал. Пожалуйста, полностью понимайте соответствующие риски и принимайте разумные решения, исходя из собственного финансового положения и толерантности к риску. Для получения подробностей, пожалуйста, обратитесь к Отказу от ответственности.

Связанные статьи

41 крипто-похищение во Франции за 3,5 месяца; Дуров винит утечки данных

Сообщение Gate News, 24 апреля — во Франции за всего 3,5 месяца 2026 года, по словам Павла Дурова, основателя Telegram, произошло 41 похищение держателей криптовалюты, он связал всплеск с повсеместными утечками данных. Дуров отметил в публикации на X, что конфиденциальные персональные данные, включая сведения, находящиеся у налоговых органов, и информацию из крупного взлома во Французском агентстве по безопасным документам, раскрыли примерно имена, адреса и номера телефонов 19 миллионов человек, делая держателей цифровых активов более удобными целями. Во Франции власти подтвердили, что с января 2026 года зафиксировано более 40 похищений крипто-держателей или попыток похищений, что означает резкий рост по сравнению с примерно 30 случаями в 2025 году. По словам Филиппа Шадри, представителя французской судебной полиции, схема действий и методы выбора жертв различаются: многие операции координируются сетями, работающими за рубежом. Инциденты варьируются от кратковременных похищений до жестоких случаев с пытками и требованиями выкупа. В одном недавнем случае в Бургундии похитили женщину и ее 11-летнего сына, а затем их освободили после крупномасштабной полицейской операции. В другом случае в Англеже подозреваемые ошибочно похитили не тех людей, прежде чем их арестовали. В 2025 году видного деятеля криптоиндустрии Давида Баллана похитили, а затем отрезали ему палец, прежде чем его спасли. Французские прокуроры предъявили обвинения уже 88 лицам в связи с крипто-ориентированными похищениями, включая несовершеннолетних как минимум в дюжине случаев. Дуров предупредил, что расширение доступа правительства к цифровым идентификаторам и зашифрованным коммуникациям может ухудшить ситуацию, если системы будут скомпрометированы, хотя его утверждение о том, что налоговые чиновники напрямую продают данные, остается неподтвержденным. Кризис утечки данных выходит за рамки похищений. Группы по защите данных во Франции сообщают о миллионах скомпрометированных записей в нескольких утечках, затрагивающих государственные службы и частные компании. По словам Себа, президента Французской федерации по защите данных, Франция готовится стать второй по количеству взломов страной в мире в 2026 году: более 300 французских сервисов затронуты, 23 миллиона аккаунтов скомпрометированы, и более 250 миллионов записей данных раскрыты. France Titres ANTS в одиночку увидел(а) более 11,7 миллиона раскрытых аккаунтов, а Государственное агентство по платежам и услугам утекло банковские реквизиты и номера социального страхования миллионов французских граждан. Крипто-ориентированные похищения обычно следуют схеме: жертв идентифицируют как людей, владеющих цифровыми активами, похищают и под давлением принуждают к переводу средств. В отличие от традиционных банковских счетов, криптовалютные кошельки можно получить мгновенно, если раскрыты приватные ключи или пароли, что делает их привлекательными целями для вымогательства. Между тем Bitcoin за последние 30 дней вырос почти на 10%, торгуясь по $77,601 на момент публикации, тогда как Ethereum снизился на 5% за неделю и торгуется по $2,315.

GateNews3ч назад

Криптобиржа Zondacrypto сталкивается с обвинениями в присвоении 350 миллионов долларов, генеральный директор публично отрицает

Один из крупнейших криптовалютных бирж Польши Zondacrypto. Его генеральный директор Пржемыслав Крал (Przemysław Kral) 16 апреля публично заявил в социальных сетях, что биржа не может получить доступ к кошельку, в котором хранится 4 503 биткоина; текущая стоимость превышает 350 миллионов долларов США. Крал опубликовал адрес соответствующего кошелька, чтобы опровергнуть обвинения в присвоении, но данное раскрытие сразу же вызвало массовые выводы средств.

MarketWhisper23ч назад

CryptoQuant: KelpDAO взлом — крупнейший с 2024 года кризис, Aave TVL упал на 33%

Согласно оценке CryptoQuant от 23 апреля, хакерская атака на KelpDAO, произошедшая на прошлой неделе, в течение 72 часов создала для Aave риск потенциальных безнадежных долгов в размере от 124 млн до 230 млн долларов, TVL рухнул на 33%, а ставки по займам USDT и USDC взлетели с 3,4% до 14%; ставка по займам в ETH поднялась до максимального уровня с января 2024 года — 8%.

MarketWhisper04-24 02:13

CoW DAO предлагает программу дискреционных грантов для компенсации жертвам захвата домена

Сообщение Gate News, 24 апреля — CoW DAO предложила создать программу дискреционных грантов для компенсации пользователей, которые понесли убытки в результате инцидента с захватом домена cow.fi 14 апреля. Программа предоставит до 100% возмещения убытков за счет разового выделения из фонда резервов юридической защиты для соответствующих критериям пострадавших, которые подписали вредоносные транзакции

GateNews04-24 01:52

Крупнейшая биржа Польши сталкивается с обвинениями в мошенничестве $350M

Zondacrypto сталкивается с обвинениями в нецелевом расходовании средств: по словам ее генерального директора, Пржемыслава Крала (Przemysław Kral), биржа потеряла доступ к кошельку, в котором находится более 4,500 BTC. Крал заявил, что кошелек был продан бирже, но его прежний владелец исчез, прежде чем передать приватные ключи. Ключ

Coinpedia04-23 23:43

JPMorgan: эксплойты по безопасности в DeFi и стагнация TVL ограничивают институциональное внедрение

Сообщение Gate News, 23 апреля — аналитики JPMorgan во главе с управляющим директором Николаосом Панигиртзоглу заявили, что устойчивые эксплойты в децентрализованных финансах (DeFi) и слабый рост продолжают ограничивать институциональный интерес к сектору. Недавний взлом Kelp DAO стёр примерно $20 миллиард из общей стоимости, зафиксированной в DeFi TVL, всего за несколько дней, согласно репорту в среду

GateNews04-23 17:53
комментарий
0/400
Нет комментариев