Matcha Meta segnala una violazione della sicurezza, 16,8 milioni di dollari drenati, con altri utenti a rischio
- Matcha Meta segnala una violazione della sicurezza correlata a SwapNet che ha drenato circa 16,8 milioni di dollari dopo che gli aggressori hanno abusato delle approvazioni dirette sui token.
- L'exploit ha coinvolto lo scambio di USDC in Ether su Base prima del trasferimento dei fondi su Ethereum, secondo i dati on-chain.
- L'incidente segue recenti furti DeFi avvenuti su Makina e CoWSwap, evidenziando i rischi persistenti legati alle approvazioni degli smart contract.
La piattaforma di aggregazione per swap e bridge costruita da 0x, Matcha Meta, ha perso 16,8 milioni di dollari in asset digitali a causa di una violazione della sicurezza di SwapNet, secondo la piattaforma di sicurezza Web3 PeckShield.
Matcha Meta ha annunciato lunedì di aver subito un exploit di sicurezza nel weekend, in cui gli aggressori hanno sottratto token da un aggregatore esterno integrato nell'interfaccia di Matcha Meta chiamato SwapNet. La piattaforma ha dichiarato che gli utenti che hanno disabilitato la funzione "Approvazioni One-Time" e hanno concesso permessi diretti sui token ai singoli aggregatori erano a rischio di perdere i propri fondi.
Siamo a conoscenza di un incidente con SwapNet a cui gli utenti potrebbero essere stati esposti su Matcha Meta per coloro che hanno disattivato le Approvazioni One-Time
Siamo in contatto con il team di SwapNet e loro hanno temporaneamente disabilitato i loro contratti
Il team sta indagando attivamente e fornirà…
— Matcha Meta (@matchametaxyz) 1 25, 2026
Nella dichiarazione dell'aggregatore di swap su X, MM ha affermato di essere venuto a conoscenza di attività sospette dopo che sono apparsi nei record transazionali registri di grandi movimenti di token non autorizzati dal contratto router di SwapNet. La piattaforma ha confermato di aver contattato il team di SwapNet, che "ha temporaneamente disabilitato i suoi contratti" per prevenire ulteriori perdite.
L'hacker di Matcha Meta ha scambiato 3k monete Ether delle vittime
Secondo la società di sicurezza blockchain PeckShield, l'attaccante ha drenato i fondi tramite approvazioni di token e swap. Ha spostato circa 10,5 milioni di USDC dagli indirizzi delle vittime su Base, una blockchain layer-2 di Ether, per poi scambiare le stablecoin con 3.655 Ether, consolidando il valore in un'attività più liquida.
Dopo aver completato gli swap, l'attaccante ha iniziato a fare il bridge dell'Ether da Base alla mainnet di Ethereum per nascondere eventuali tracce delle transazioni. Il bridge è il processo di trasferimento di attività tra blockchain utilizzando smart contract o protocolli intermediari. Sebbene sia considerato "legittimo" nella maggior parte dei casi, gli hacker lo utilizzano perché rende quasi impossibile tracciare le loro operazioni.
L'autore aveva precedentemente concesso le autorizzazioni sui token per spostare i fondi senza la firma dell'utente, il che concede il permesso a un contratto intelligente di spendere i loro token. Se un'autorizzazione è impostata su illimitato, un contratto malevolo o compromesso può drenare i fondi fino all'esaurimento del saldo.
Matcha Meta ha dichiarato che gli utenti che hanno interagito con la piattaforma utilizzando il sistema One-Time Approval non sono stati colpiti. Questa funzione instrada le autorizzazioni sui token attraverso i contratti AllowanceHolder e Settler di 0x, limitando l'esposizione di un trader concedendo approvazioni per una singola transazione.
"Dopo aver esaminato con il team del protocollo di 0x, abbiamo confermato che la natura dell'incidente non era associata ai contratti AllowanceHolder o Settler di 0x", ha scritto Matcha Meta su X più tardi. L'azienda ha aggiunto che gli utenti che hanno disabilitato le Approvazioni One-Time e impostato autorizzazioni dirette sui contratti degli aggregatori "si assumono i rischi di ciascun aggregatore."
Dopo aver consultato il team del protocollo 0x, abbiamo confermato che la natura dell'incidente non è associata ai contratti AllowanceHolder o Settler di 0x.
Gli utenti che hanno interagito con Matcha Meta tramite One-Time Approval sono quindi al sicuro.
Gli utenti che hanno disabilitato One-Time… https://t.co/VQVmj4LL0F
— Matcha Meta (@matchametaxyz) 1 25, 2026
La piattaforma di swap DEX ha rimosso la funzione che consentiva agli utenti di impostare autorizzazioni dirette sugli aggregatori tramite la sua interfaccia, chiedendo al contempo alla comunità di revocare qualsiasi autorizzazione esistente sul contratto router di SwapNet.
Gli hack ai contratti intelligenti DeFi persistono nel 2026
L'incidente di Matcha Meta arriva a soli sei giorni di distanza da Makina Finance, un protocollo di finanza decentralizzata con funzionalità di esecuzione automatizzata, che ha subito una violazione della rete che ha drenato il suo pool di liquidità DUSD/USDC su Curve.
Mentre ha riportato di Cryptopolitan, gli hacker hanno estratto circa 1.299 Ether dal pool di stablecoin di Curve di Makina, del valore di 4,13 milioni di dollari al momento. La violazione ha coinvolto fornitori di liquidità non custodial connessi a un oracle di prezzo on-chain, un feed di dati utilizzato dagli smart contract per determinare il valore delle attività.
Secondo la società di analisi blockchain Elliptic, gran parte del riciclaggio di denaro sul dark web odierno coinvolge servizi di swap di monete, inclusi gli scambi istantanei che funzionano tramite siti web standalone o canali Telegram.
Lo scorso anno, l'aggregatore di exchange decentralizzati CoWSwap ha segnalato una violazione. La piattaforma ha dichiarato che il contratto compromesso derivava dallo sfruttamento di un account solver. Nel modello di CoWSwap, gli utenti firmano le intenzioni di scambio che vengono trasmesse a solver di terze parti, che competono per fornire i migliori prezzi e memorizzano le commissioni raccolte.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Florence Muchai
Florence si occupa di notizie relative a criptovalute, gaming, tecnologia e AI da oltre 6 anni. I suoi studi in Informatica presso l'Università Meru di Scienze e Tecnologia e in Gestione delle Emergenze e Diplomazia Internazionale presso il MMUST le hanno fornito eccellenti competenze linguistiche, osservative e tecniche. Florence ha lavorato al VAP Group e come editor per diverse testate specializzate in criptovalute.
