Matcha Meta informa una violación de seguridad, se drenaron $16.8M, con más usuarios en riesgo
- Matcha Meta revela una violación de seguridad relacionada con SwapNet que drenó aproximadamente $16.8 millones después de que los atacantes abusaran de las aprobaciones directas de tokens.
- Según los datos de la cadena, la explotación implicó intercambiar USDC por Ether en Base antes de transferir los fondos a Ethereum.
- El incidente se produce después de recientes ataques DeFi en Makina y CoWSwap, lo que pone de manifiesto los riesgos continuos asociados a las aprobaciones de contratos inteligentes.
La plataforma de agregación de swaps y puentes construida por 0x, Matcha Meta, ha perdido $16.8 millones en activos digitales debido a una violación de seguridad de SwapNet, según la plataforma de seguridad Web3 PeckShield.
Matcha Meta reveló el lunes que sufrió una explotación de seguridad durante el fin de semana, donde los atacantes estafaron tokens de un agregador externo integrado en la interfaz de Matcha Meta llamado SwapNet. La plataforma dijo que los usuarios que desactivaron su función de "Aprobaciones Únicas" y otorgaron permisos directos de tokens a agregadores individuales estaban en riesgo de perder sus fondos.
Somos conscientes de un incidente con SwapNet al que los usuarios pueden haber estado expuestos en Matcha Meta para aquellos que desactivaron las Aprobaciones Únicas
Estamos en contacto con el equipo de SwapNet y han desactivado temporalmente sus contratos
El equipo está investigando activamente y proporcionará…
— Matcha Meta (@matchametaxyz) enero 25, 2026
En la declaración del agregador de swaps en X, MM dijo que se hizo consciente de la actividad sospechosa después de que aparecieran registros de movimientos grandes y no autorizados de tokens desde el contrato enrutador de SwapNet en los registros transaccionales. La plataforma confirmó que había contactado al equipo de SwapNet, que "desactivó temporalmente sus contratos" para evitar más pérdidas.
El hacker de Matcha Meta intercambió 3k monedas de Ether de las víctimas
Según la firma de seguridad blockchain PeckShield, el atacante drenó fondos mediante aprobaciones de tokens e intercambios. Movió aproximadamente 10.5 millones de USDC desde las direcciones de las víctimas en Base, una blockchain de capa 2 de Ether, luego intercambió las stablecoins por 3,655 Ether, consolidando el valor en un activo más líquido.
Después de completar los intercambios, el atacante comenzó a puentear el Ether de Base a la red principal de Ethereum para ocultar cualquier rastro de transacciones. El puenteo es el proceso de transferir activos entre blockchains utilizando contratos inteligentes o protocolos intermediarios. Aunque se considera "legítimo" en la mayoría de los casos, los hackers lo utilizan porque hace que sea casi imposible rastrear sus operaciones.
El perpetrador había otorgado previamente autorizaciones de tokens para mover fondos sin la firma del usuario, lo que otorga permiso para que un contrato inteligente gaste sus tokens. Si una autorización se establece en ilimitado, un contrato malicioso o comprometido puede drenar los fondos hasta que el saldo se agote.
Matcha Meta dijo que los usuarios que interactuaron con la plataforma utilizando su sistema de Aprobación Única no se vieron afectados. Esta función enruta los permisos de tokens a través de los contratos AllowanceHolder y Settler de 0x, limitando la exposición de un trader al otorgar aprobaciones para una sola transacción.
"Después de revisar con el equipo de protocolo de 0x, hemos confirmado que la naturaleza del incidente no estaba asociada con los contratos AllowanceHolder o Settler de 0x", escribió Matcha Meta en X más tarde. La empresa agregó que los usuarios que desactivaron las Aprobaciones Únicas y establecieron autorizaciones directas en los contratos de agregadores "asumen los riesgos de cada agregador."
Tras revisar el caso con el equipo de protocolo de 0x, hemos confirmado que la naturaleza del incidente no estaba relacionada con los contratos AllowanceHolder o Settler de 0x.
Los usuarios que han interactuado con Matcha Meta a través de la Aprobación Única están a salvo.
Los usuarios que han desactivado las aprobaciones… https://t.co/VQVmj4LL0F
— Matcha Meta (@matchametaxyz) enero 25, 2026
La plataforma de intercambio DEX eliminó la función para que los usuarios establecieran autorizaciones directas en los agregadores a través de su interfaz, mientras pedía a la comunidad que revocara cualquier permiso existente en el contrato enrutador de SwapNet.
Los hackeos de contratos inteligentes de DeFi persisten en 2026
El incidente de Matcha Meta ocurre solo seis días después de que Makina Finance, un protocolo de finanzas descentralizadas con funciones de ejecución automatizada, sufriera una violación de red que drenó su pool de liquidez DUSD/USDC en Curve.
Como informó por Cryptopolitan, los hackers extrajeron aproximadamente 1,299 Ether del pool de stablecoins de Makina en Curve, valorados en $4.13 millones en ese momento. La violación involucró a proveedores de liquidez no custodios conectados a un oráculo de precios on-chain, un flujo de datos utilizado por los contratos inteligentes para determinar los valores de los activos.
Según la firma de análisis blockchain Elliptic, gran parte del lavado de dinero de la dark web actual implica servicios de intercambio de monedas, incluidos intercambios instantáneos que funcionan a través de sitios web independientes o canales de Telegram.
El año pasado, el agregador de intercambios descentralizados CoWSwap informó una violación. La plataforma dijo que el contrato comprometido provenía de la explotación de una cuenta de solver. En el modelo de CoWSwap, los usuarios firman intenciones de comercio que se pasan a solvers de terceros, los cuales compiten para ofrecer los mejores precios y almacenan las tarifas recopiladas.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
