Matcha Meta meldet Sicherheitsverstoß, 16,8 Mio. $ abgeflossen, weitere Nutzer gefährdet
- Matcha Meta gibt einen SwapNet-bezogenen Sicherheitsvorfall bekannt, der etwa 16,8 Mio. $ abfloss, nachdem Angreifer direkte Token-Zustimmungen missbraucht hatten.
- Laut On-Chain-Daten bestand der Exploit darin, USDC gegen Ether auf Base zu tauschen und die Mittel anschließend nach Ethereum zu überführen.
- Der Vorfall folgt auf kürzliche DeFi-Hacks bei Makina und CoWSwap und unterstreicht die anhaltenden Risiken im Zusammenhang mit Smart-Contract-Genehmigungen.
Die Swap- und Bridge-Aggregationsplattform, die von 0x entwickelt wurde, Matcha Meta, hat 16,8 Mio. $ an digitalen Vermögenswerten aufgrund eines Sicherheitsvorfalls bei SwapNet verloren, so die Web3-Sicherheitsplattform PeckShield.
Matcha Meta gab am Montag bekannt, dass es am Wochenende einen Sicherheitsvorfall erlitten hat, bei dem Angreifer Token von einem externen Aggregator, der in die Schnittstelle von Matcha Meta integriert ist und SwapNet genannt wird, betrügerisch abgezogen haben. Die Plattform sagte, Nutzer, die ihre „Einmal-Zustimmungen“ deaktiviert und direkten Token-Berechtigungen für einzelne Aggregatoren erteilt hatten, seien gefährdet, ihre Mittel zu verlieren.
Wir sind über einen Vorfall mit SwapNet informiert, dem Nutzer ausgesetzt sein könnten, die auf Matcha Meta die Einmal-Zustimmungen deaktiviert haben
Wir stehen im Kontakt mit dem SwapNet-Team, und sie haben ihre Verträge vorübergehend deaktiviert
Das Team untersucht den Vorfall aktiv und wird…
— Matcha Meta (@matchametaxyz) Januar 25, 2026
In der Erklärung des Swap-Aggregators auf X gab MM an, dass es verdächtige Aktivitäten bemerkte, nachdem in Transaktionsaufzeichnungen Aufzeichnungen über große, unbefugte Token-Bewegungen vom Router-Vertrag von SwapNet erschienen waren. Die Plattform bestätigte, dass sie das SwapNet-Team kontaktiert habe, das „seine Verträge vorübergehend deaktiviert“ habe, um weitere Verluste zu verhindern.
Matcha Meta-Hacker tauschte 3k Ether-Münzen von Opfern
Laut der Blockchain-Sicherheitsfirma PeckShield, zog der Angreifer Mittel über Token-Zustimmungen und Swaps ab. Er bewegte etwa 10,5 Mio. USDC von Opferadressen auf Base, einer Layer-2-Blockchain von Ether, tauschte dann die Stablecoins in 3.655 Ether um und konsolidierte den Wert in ein liquideres Asset.
Nach Abschluss der Swaps begann der Angreifer, den Ether von Base auf das Ethereum-Hauptnetz zu brücken, um Transaktionspfade zu verschleiern. Bridging ist der Prozess der Übertragung von Vermögenswerten zwischen Blockchains unter Verwendung von Smart Contracts oder Zwischenprotokollen. Obwohl es in den meisten Fällen als „legitim“ gilt, nutzen Hacker es, weil es nahezu unmöglich macht, ihre Operationen zu verfolgen.
Der Täter hatte zuvor Token-Erlaubnisse erteilt, um Mittel ohne die Unterschrift des Benutzers zu bewegen, was die Berechtigung erteilt, Smart Contract ihre Token auszugeben. Wenn eine Erlaubnis auf unbegrenzt gesetzt ist, kann ein bösartiger oder kompromittierter Vertrag Mittel abfließen lassen, bis der Saldo erschöpft ist.
Matcha Meta sagte, dass Nutzer, die die Plattform mit ihrem Einmal-Zustimmungssystem genutzt haben, nicht betroffen waren. Diese Funktion leitet Token-Berechtigungen durch die AllowanceHolder- und Settler-Verträge von 0x, wodurch die Exposition eines Händlers begrenzt wird, indem Zustimmungen für eine einzelne Transaktion erteilt werden.
„Nach Überprüfung mit dem 0x-Protokollteam haben wir bestätigt, dass die Art des Vorfalls nicht mit den AllowanceHolder- oder Settler-Verträgen von 0x verbunden war“, schrieb Matcha Meta später auf X. Das Unternehmen fügte hinzu, dass Nutzer, die Einmal-Zustimmungen deaktiviert und direkte Erlaubnisse auf Aggregator-Verträgen festgelegt haben, „die Risiken jedes Aggregators übernehmen“.
Nach Rücksprache mit dem 0x-Protokollteam haben wir bestätigt, dass die Art des Vorfalls nicht mit den 0x-AllowanceHolder- oder Settler-Verträgen zusammenhängt.
Nutzer, die Matcha Meta über die Einmal-Zustimmung genutzt haben, sind somit sicher.
Nutzer, die die Einmal… https://t.co/VQVmj4LL0F
— Matcha Meta (@matchametaxyz) Januar 25, 2026
Die DEX-Swap-Plattform hat die Funktion entfernt, die es Nutzern ermöglichte, direkte Erlaubnisse auf Aggregatoren über ihre Schnittstelle festzulegen, und bat die Community, alle bestehenden Berechtigungen auf dem Router-Vertrag von SwapNet zu widerrufen.
DeFi-Smart-Contract-Hacks bestehen in 2026
Der Vorfall bei Matcha Meta ereignete sich nur sechs Tage nach einem Netzwerkbruch bei Makina Finance, einem dezentralen Finanzprotokoll mit automatisierten Ausführungsfunktionen, das seinen DUSD/USDC-Liquiditätspool auf Curve leerte.
Als berichtete von Cryptopolitan zogen Hacker etwa 1.299 Ether aus dem Stablecoin-Pool von Makina auf Curve ab, was zu diesem Zeitpunkt 4,13 Mio. $ wert war. Der Bruch betraf nicht-kustodiale Liquiditätsanbieter, die mit einer On-Chain-Preis-Oracle verbunden waren, einem Datenfeed, der von Smart Contracts zur Bestimmung von Vermögenswerten verwendet wird.
Laut der Blockchain-Analysefirma Elliptic beinhaltet ein Großteil der heutigen Geldwäsche im Dark Web Coin-Swap-Dienste, einschließlich sofortiger Börsen, die über eigenständige Websites oder Telegram-Kanäle laufen.
Im vergangenen Jahr meldete der dezentrale Börsenaggregator CoWSwap einen Bruch. Die Plattform sagte, der kompromittierte Vertrag stamme aus der Ausnutzung eines Solver-Kontos. Im Modell von CoWSwap unterzeichnen Nutzer Handelsabsichten, die an Drittanbieter-Solver weitergeleitet werden, die darum wetteifern, die besten Preise anzubieten und die gesammelten Gebühren zu speichern.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
