Matcha Metaがセキュリティ侵害を報告、1,680万ドルが流出、さらに多くのユーザーがリスクに晒される

0xによって構築されたスワップおよびブリッジ集約プラットフォーム、Matcha Metaは、Web3セキュリティプラットフォームPeckShieldによると、SwapNetのセキュリティ侵害により1,680万ドルのデジタル資産を失いました。

Matcha Metaは月曜日に、週末にセキュリティ侵害を受け、攻撃者がMatcha Metaのインターフェースに統合された外部集約プラットフォーム「SwapNet」からトークンを騙し取ったと明らかにしました。プラットフォームは、「ワンタイムアプロール」機能を無効にし、個々の集約プラットフォームに直接トークン権限を付与したユーザーが資金を失うリスクがあると述べています。

SwapNetでのインシデントについて認識しており、Matcha Metaでワンタイムアプロールをオフにしたユーザーが影響を受けた可能性があります

SwapNetチームと連絡を取っており、彼らは一時的に契約を無効にしました

チームは積極的に調査を進めており、…

— Matcha Meta (@matchametaxyz) 1月 25日、 2026

スワップ集約プラットフォームのXでの声明において、MMはSwapNetのルーター契約からの大規模な不正なトークン移動の記録が取引記録に現れた後、不審な活動に気づいたと述べました。プラットフォームはSwapNetチームに連絡したことを確認し、同チームは「一時的に契約を無効に」してさらなる損失を防いだと述べています。 

Matcha Metaのハッカーは被害者から 3k ETHをスワップ

ブロックチェーンセキュリティfirm PeckShieldによると、攻撃者はトークンの承認とスワップを通じて資金を流出させました。彼らはベース（Etherのレイヤー2ブロックチェーン）上の被害者アドレスから約1,050万USDCを移動し、その後ステーブルコインを3,655 ETHにスワップして、より流動性の高い資産に価値を集中させました。

スワップを完了した後、攻撃者はベースからイーサリアムメインネットにETHをブリッジし、取引の痕跡を隠蔽し始めました。ブリッジは、スマートコントラクトや仲介プロトコルを使用してブロックチェーン間で資産を転送するプロセスです。ほとんどの場合「正規」の行為と見なされますが、ハッカーはこれを操作を追跡不可能にするために使用します。

加害者は以前、ユーザーの署名なしで資金を移動するためのトークンアロアンスを付与しており、これは スマートコントラクト がトークンを使用する権限を付与します。アロアンスが無制限に設定されている場合、悪意のあるまたは侵害されたコントラクトは残高が枯渇するまで資金を流出させることができます。 

Matcha Metaは、ワンタイムアプロールシステムを使用してプラットフォームと相互作用したユーザーは影響を受けていないと述べました。この機能は、トークン権限を0xのAllowanceHolderおよびSettler契約を通じてルーティングし、単一の取引に対して承認を付与することでトレーダーの暴露を制限します。 

「0xのプロトコルチームとレビューした結果、インシデントの性質は0xのAllowanceHolderまたはSettler契約に関連していないことを確認しました」とMatcha Metaは後にXで書き込みました。同社は、ワンタイムアプロールを無効にし、集約プラットフォーム契約に直接アロアンスを設定したユーザーは「各集約プラットフォームのリスクを負う」と付け加えました。

0xのプロトコルチームと協議した結果、本件の性質は0xのAllowanceHolderまたはSettler契約には関連していないことを確認しました。

したがって、ワンタイムアプロールを介してMatcha Metaと相互作用したユーザーは安全です。

ワンタイム承認を無効にしたユーザー… https://t.co/VQVmj4LL0F

— Matcha Meta (@matchametaxyz) 1月 25日、 2026

DEXスワッププラットフォームは、インターフェースを通じて集約プラットフォームに直接アロアンスを設定する機能を削除し、コミュニティにSwapNetのルーター契約上の既存の権限を取り消すよう要請しました。 

DeFiスマートコントラクトのハックは 2026で継続

Matcha Metaのインシデントは、自動実行機能を持つ分散型金融プロトコルであるMakina Financeが、Curve上のDUSD/USDC流動性プールから資金を流出させるネットワーク侵害を受けたわずか6日後のことです。

を受け取る予定です。 報告しました。これには完全な準備預金と独立監査が含まれます。 Cryptopolitanによると、ハッカーはMakinaのCurveステーブルコインプールから約1,299 ETH（当時413万ドル相当）を抽出しました。この侵害には、オンチェーン価格オラクルに接続された非カストディアル流動性プロバイダーが含まれており、これはスマートコントラクトが資産価値を決定するために使用するデータフィードです。 

ブロックチェーン分析firm Ellipticによると、今日のダークウェブのマネーロンダリングの多くは、スタンドアロンウェブサイトやTelegramチャンネルを介して実行される即時交換を含むコインスワップサービスに関与しています。

昨年、分散型取引所集約プラットフォームCoWSwapが侵害を受けました。 プラットフォームは、侵害された契約がソルバーアカウントの悪用から生じたと述べました。CoWSwapのモデルでは、ユーザーは取引意図に署名し、それがサードパーティのソルバーに渡され、ソルバーが最高の価格を提供するために競争し、収集された手数料を保管します。