Matcha Meta がセキュリティ侵害を報告、1,680万ドル流出、さらに多くのユーザーが危険にさらされている

Web3セキュリティプラットフォームのPeckShieldによると、0xが構築したスワップおよびブリッジ集約プラットフォームであるMatcha Metaは、SwapNetのセキュリティ侵害により1,680万ドル相当のデジタル資産を失ったという。.

Matcha Metaは月曜日、週末にセキュリティエクスプロイトの被害に遭ったことを明らかにした。攻撃者はMatcha Metaのインターフェースに統合されたSwapNetと呼ばれる外部アグリゲーターからトークンを詐取した。プラットフォームによると、「ワンタイム承認」機能を無効化し、個々のアグリゲーターに直接トークンの承認を与えたユーザーは、資金を失うリスクにさらされていたという。.

ワンタイム承認をオフにしたユーザーがMatcha MetaでSwapNetのインシデントに遭遇した可能dent があることを認識しています。

SwapNetチームと連絡を取り、彼らは一時的にtracを無効にしました。

チームは積極的に調査を行っており、… を提供します。

— Matcha Meta (@matchametaxyz) 2026年1月25日

スワップアグリゲーターMMはXに関する声明の中で、SwapNetのルーター契約から不正なトークンの大規模な移動が取引tracに記録された後、不審な活動に気付いたと述べています。プラットフォームはSwapNetチームに連絡し、さらなる損失を防ぐため「一時的にtracを無効化」したことを確認しました。. 

Matcha Meta のハッカーが被害者から 3,000 イーサリアムを交換

ブロックチェーンセキュリティ企業 PeckShield、攻撃者はトークンの承認とスワップを通じて資金を流出させた。彼らは、イーサリアムのレイヤー2ブロックチェーンであるBase上の被害者のアドレスから約1,050万USDCを移動させ、その後、このステーブルコインを3,655イーサリアムにスワップすることで、より流動性の高い資産へと価値を統合した。

スワップ完了後、攻撃者はトランザクションの痕跡を隠すため、イーサリアム・ベースから Ethereum ネットへのイーサのブリッジを開始しました。ブリッジとは、スマートtracや仲介プロトコルを用いてブロックチェーン間で資産を移転するプロセスです。多くの場合「合法」とみなされますが、ハッカーがこれを利用するのは、操作の tracがほぼ不可能になるためです。.

犯人は以前、ユーザーの署名なしに資金を移動するためのトークン使用権限を付与しており、これにより スマートコントラクトtracユーザー のトークンを使用する許可を得ていました。使用権限が無制限に設定されている場合、悪意のある、または侵害されたコントラクトtrac、残高がなくなるまで資金を吸い上げることができます。 

Matcha Metaは、ワンタイム承認システムを使用してプラットフォームとやり取りしたユーザーには影響がないと述べています。この機能は、トークンの承認を0xのAllowanceHolder契約とSettler契約にルーティングし、単一の取引に対して承認を与えることでトレーダーのtracを軽減します。. 

「0xのプロトコルチームと検討した結果、今回のdent の性質は0xのAllowanceHolder契約またはSettlertracとは関連がないことが確認されました」とMatcha Metaは後にXに投稿した。同社はさらに、ワンタイム承認を無効にし、アグリゲーターtracで直接Allowanceを設定したユーザーは「各アグリゲーターのリスクを負う」と付け加えた。

0xのプロトコルチームと協議した結果、dent の事象は0xのAllowanceHolderまたはSettlertracとは関連がないことを確認しました。.

したがって、ワンタイム承認を介して Matcha Meta とやり取りしたユーザーは安全です。.

ワンタイムを無効にしたユーザーは… https://t.co/VQVmj4LL0F

— Matcha Meta (@matchametaxyz) 2026年1月25日

DEXスワッププラットフォームは、ユーザーがインターフェースを通じてアグリゲーターに直接許可を設定する機能を削除し、コミュニティにSwapNetのルーター契約tracの既存の権限を取り消すように求めました。. 

DeFi スマートtracのハッキングは2026年も続く

Matcha Metadent 、自動実行機能を備えた分散型金融プロトコルである Makina Finance がネットワーク侵害を受け、Curve 上の DUSD/USDC 流動性プールが枯渇してからわずか 6 日後に発生した。.

によると 報道 の Cryptopolitan、ハッカーはtracMakinaのCurveステーブルコインプールから約1,299イーサリアム（当時413万ドル相当）を抜き取った。この侵害は、スマートコントラクトが資産価値を決定するために使用するデータフィードであるオンチェーン価格オラクルに接続された非カストディアル流動性プロバイダーが関与してtrac。 

ブロックチェーン分析会社エリプティックによると、今日のダークウェブでのマネーロンダリングの多くは、独立したウェブサイトやテレグラムのチャンネルを通じて運営されるインスタント取引所を含むコインスワップサービスに関連している。.

昨年、分散型取引所アグリゲーターのCoWSwapは情報漏洩を報告した。 同プラットフォームによると、侵害された契約tracソルバーアカウントの悪用によるものだという。CoWSwapのモデルでは、ユーザーが取引意図に署名し、それが第三者のソルバーに渡される。ソルバーは最良の価格を提示するために競い合い、徴収した手数料を保存する。