Matcha Meta signale une violation de sécurité, 16,8 M$ détournés, avec plus d'utilisateurs à risque
- Matcha Meta divulgue une violation de sécurité liée à SwapNet qui a vidé environ 16,8 millions de dollars après que des attaquants aient abusé des approbations directes de tokens.
- Selon les données on-chain, l'exploitation a consisté à échanger des USDC contre de l'Ether sur Base avant de transférer les fonds vers Ethereum.
- Cet incident fait suite à récents piratages DeFi chez Makina et CoWSwap, soulignant les risques persistants liés aux approbations de contrats intelligents.
La plateforme d'agrégation de swaps et de ponts construite par 0x, Matcha Meta, a perdu 16,8 millions de dollars d'actifs numériques en raison d'une violation de sécurité de SwapNet, selon la plateforme de sécurité Web3 PeckShield.
Matcha Meta a divulgué lundi qu'elle avait subi une exploitation de sécurité durant le week-end, où des attaquants ont soutiré des tokens à un agrégateur externe intégré à l'interface de Matcha Meta appelé SwapNet. La plateforme a indiqué que les utilisateurs qui avaient désactivé la fonction « Approbations uniques » et accordé des autorisations directes de tokens à des agrégateurs individuels risquaient de perdre leurs fonds.
Nous sommes au courant d'un incident avec SwapNet auquel les utilisateurs peuvent avoir été exposés sur Matcha Meta pour ceux qui ont désactivé les Approbations uniques
Nous sommes en contact avec l'équipe de SwapNet et ils ont temporairement désactivé leurs contrats
L'équipe enquête activement et fournira…
— Matcha Meta (@matchametaxyz) le 25 janvier 2026
Dans la déclaration de l'agrégateur de swaps sur X, MM a indiqué qu'elle a pris conscience de l'activité suspecte après l'apparition de registres de mouvements de tokens importants et non autorisés depuis le contrat routeur de SwapNet dans les enregistrements transactionnels. La plateforme a confirmé qu'elle avait contacté l'équipe de SwapNet, qui a « temporairement désactivé ses contrats » pour prévenir de nouvelles pertes.
Le pirate de Matcha Meta a échangé 3 k Ether des victimes
Selon la firme de sécurité blockchain PeckShield, l'attaquant a vidé les fonds via des approbations de tokens et des swaps. Il a déplacé environ 10,5 millions d'USDC depuis les adresses des victimes sur Base, une blockchain de couche 2 d'Ether, puis a échangé les stablecoins contre 3 655 Ether, consolidant la valeur dans un actif plus liquide.
Après avoir terminé les swaps, l'attaquant a commencé à transférer l'Ether de Base vers le réseau principal Ethereum pour masquer toute trace de transaction. Le pontage (bridging) est le processus de transfert d'actifs entre blockchains à l'aide de contrats intelligents ou de protocoles intermédiaires. Bien qu'il soit considéré comme « légitime » dans la plupart des cas, les pirates l'utilisent car il rend presque impossible le suivi de leurs opérations.
L'auteur avait précédemment accordé des autorisations de tokens pour déplacer des fonds sans la signature de l'utilisateur, ce qui donne la permission à un contrat intelligent de dépenser leurs tokens. Si une autorisation est définie sur un montant illimité, un contrat malveillant ou compromis peut vider les fonds jusqu'à ce que le solde soit épuisé.
Matcha Meta a déclaré que les utilisateurs qui ont interagi avec la plateforme en utilisant son système d'approbation unique n'ont pas été impactés. Cette fonctionnalité achemine les autorisations de tokens via les contrats AllowanceHolder et Settler de 0x, limitant l'exposition d'un trader en accordant des approbations pour une seule transaction.
« Après examen avec l'équipe de protocole de 0x, nous avons confirmé que la nature de l'incident n'était pas associée aux contrats AllowanceHolder ou Settler de 0x », a écrit Matcha Meta sur X plus tard. L'entreprise a ajouté que les utilisateurs qui avaient désactivé les Approbations uniques et défini des autorisations directes sur les contrats d'agrégateur « assument les risques de chaque agrégateur ».
Après examen en collaboration avec l'équipe du protocole 0x, nous avons confirmé que la nature de l'incident n'était pas associée aux contrats AllowanceHolder ou Settler de 0x.
Les utilisateurs qui ont interagi avec Matcha Meta via l'Approbation unique sont donc en sécurité.
Les utilisateurs qui ont désactivé l'approbation unique… https://t.co/VQVmj4LL0F
— Matcha Meta (@matchametaxyz) le 25 janvier 2026
La plateforme d'échange décentralisé a supprimé la fonction permettant aux utilisateurs de définir des autorisations directes sur les agrégateurs via son interface, tout en demandant à la communauté de révoquer toutes les autorisations existantes sur le contrat routeur de SwapNet.
Les piratages de contrats intelligents DeFi persistent en 2026
L'incident de Matcha Meta survient seulement six jours après que Makina Finance, un protocole de finance décentralisée avec des fonctionnalités d'exécution automatisée, ait subi une violation de réseau qui a vidé son pool de liquidité DUSD/USDC sur Curve.
Alors que a rapporté par Cryptopolitan, les pirates ont extrait environ 1 299 Ether du pool de stablecoins de Makina sur Curve, d'une valeur de 4,13 millions de dollars à l'époque. La violation impliquait des fournisseurs de liquidité non gardiens connectés à une oracle de prix on-chain, un flux de données utilisé par les contrats intelligents pour déterminer la valeur des actifs.
Selon la firme d'analyse blockchain Elliptic, une grande partie du blanchiment d'argent sur le dark web implique des services d'échange de pièces, y compris des échanges instantanés qui fonctionnent via des sites web autonomes ou des canaux Telegram.
L'année dernière, l'agrégateur d'échanges décentralisés CoWSwap a signalé une violation. La plateforme a déclaré que le contrat compromis provenait de l'exploitation d'un compte solver. Dans le modèle de CoWSwap, les utilisateurs signent des intentions de trade qui sont transmises à des solveurs tiers, qui rivalisent pour fournir les meilleurs prix et stockent les frais collectés.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
