- Matcha Meta는 공격자들이 직접 토큰 어프루발을 남용한 후 약 1,680만 달러를 유출한 SwapNet 관련 보안 침해를 공표했습니다.
- 온체인 데이터에 따르면, 이 악용은 Base에서 USDC를 이더로 스왑한 후 자금을 이더리움으로 브릿징하는 과정을 포함했습니다.
- 이 사건은 Makina와 CoWSwap에서의 최근 DeFi 해킹 사례에 이어 발생했으며, 스마트 계약 승인 관련 지속적인 위험성을 부각시키고 있습니다.
0x가 구축한 스왑 및 브리지 집계 플랫폼인 Matcha Meta는 Web3 보안 플랫폼 PeckShield에 따르면 SwapNet 보안 침해로 인해 1,680만 달러의 디지털 자산을 손실했다고 밝혔습니다.
Matcha Meta는 월요일에 주말 동안 보안 취약점을 겪었다고 공표했으며, 공격자들은 Matcha Meta 인터페이스에 통합된 외부 집계기인 SwapNet에서 토큰을 사기쳤습니다. 플랫폼은 '원타임 어프루발' 기능을 비활성화하고 개별 집계기에 직접 토큰 권한을 부여한 사용자들이 자금 손실 위험에 노출되었다고 말했습니다.
우리는 Matcha Meta에서 원타임 어프루발을 끄고 사용자들이 SwapNet과 관련된 사건에 노출되었을 수 있음을 인지하고 있습니다
우리는 SwapNet 팀과 연락 중이며, 그들은 일시적으로 계약을 비활성화했습니다
팀은 적극적으로 조사 중이며…
— Matcha Meta (@matchametaxyz) 1월 25일, 2026
스왑 집계기의 X 게시문에서 MM은 SwapNet 라우터 계약에서 대규모 무단 토큰 이동 기록이 거래 기록에 나타난 후 의심스러운 활동을 인지하게 되었다고 밝혔습니다. 플랫폼은 SwapNet 팀에 연락했으며, 팀이 추가 손실을 방지하기 위해 '계약을 일시적으로 비활성화'했다고 확인했습니다.
Matcha Meta 해커는 피해자들로부터 3k개의 이더리움 코인을 스왑
블록체인 보안 기업 및 Blockaid와 같은 보안 기업들이 이 악용을 처음 감지했습니다. PeckShield의 보고서에는 SquidRouterModule 악용의 세부 사항과 자금의 실제 흐름이 제공되었으며, 여기에는 TornadoCash 사용뿐만 아니라 모든 토큰을 DAI로 교환하는 것도 포함되었습니다.에 따르면, 공격자는 토큰 어프루발과 스왑을 통해 자금을 유출했습니다. 그들은 이더리움 레이어-2 블록체인인 베이스에서 피해자 주소에서 약 1,050만 달러의 USDC를 이동한 후, 이 스테이블코인들을 3,655개의 이더리움으로 스왑하여 더 유동성 높은 자산으로 가치를 통합했습니다.
스왑을 완료한 후, 공격자는 베이스에서 이더리움 메인넷으로 이더리움을 브리징하여 거래 흔적을 숨기기 시작했습니다. 브리징은 스마트 계약이나 중개 프로토콜을 사용하여 블록체인 간에 자산을 이전하는 과정입니다. 대부분의 경우 '합법적'으로 간주되지만, 해커들은 이를 사용하여 자신의 작업을 추적하기 어렵게 만듭니다.
범행자는 사용자의 서명 없이 자금을 이동하기 위해 토큰 허용량을 이전에 부여했으며, 이는 스마트 컨트랙트 계약이 사용자의 토큰을 지출할 수 있는 권한을 부여합니다. 허용량이 무제한으로 설정되면, 악의적이거나 침해된 계약이 잔고가 고갈될 때까지 자금을 유출할 수 있습니다.
Matcha Meta는 원타임 어프루발 시스템을 사용하여 플랫폼과 상호작용한 사용자들은 영향을 받지 않았다고 말했습니다. 이 기능은 0x의 AllowanceHolder 및 Settler 계약을 통해 토큰 권한을 라우팅하여, 단일 거래에 대한 어프루발만 부여함으로써 트레이더의 노출을 제한합니다.
“0x의 프로토콜 팀과 검토한 결과, 사건의 성격이 0x의 AllowanceHolder 또는 Settler 계약과 관련이 없음을 확인했습니다,”라고 Matcha Meta는 나중에 X에 썼습니다. 회사는 원타임 어프루발을 비활성화하고 집계기 계약에 직접 허용량을 설정한 사용자들은 '각 집계기의 위험을 감수한다'고 덧붙였습니다.
0x의 프로토콜 팀과 검토한 결과, 이번 사건의 성격은 0x의 AllowanceHolder 또는 Settler 계약과 관련이 없는 것으로 확인되었습니다.
따라서 Matcha Meta를 원타임 어프루발을 통해 상호작용한 사용자들은 안전합니다.
원타임 어프루발을 비활성화한 사용자… https://t.co/VQVmj4LL0F
— Matcha Meta (@matchametaxyz) 1월 25일, 2026
DEX 스왑 플랫폼은 인터페이스를 통해 집계기에 직접 허용량을 설정하는 기능을 제거했으며, 커뮤니티에게 SwapNet의 라우터 계약에 존재하는 모든 권한을 취소할 것을 요청했습니다.
디파이 스마트 계약 해킹이 2026년에도 지속
Matcha Meta 사건은 자동 실행 기능을 갖춘 디파이 프로토콜인 Makina Finance가 네트워크 침해를 겪어 Curve의 DUSD/USDC 유동성 풀이 유출된 지 단 6일 만에 발생했습니다.
로 6월 DFS가 기존 안전 장치를 유지하면서 GENIUS ACT와 일치하는 새로운 스테이블코인 규제를 제안했다고 보도했습니다. 여기에는 완전한 준비금 backing과 독립적인 감사 포함됩니다. Cryptopolitan에 따르면, 해커들은 Makina의 Curve 스테이블코인 풀에서 약 1,299개의 이더리움(당시 가치 413만 달러)을 추출했습니다. 이 침해는 온체인 가격 오라클에 연결된 비 custodia적 유동성 제공자를 포함했으며, 이는 스마트 계약이 자산 가치를 결정하는 데 사용하는 데이터 피드입니다.
블록체인 분석 기업 Elliptic에 따르면, 오늘날의 다크웹 돈세탁의 상당 부분은 독립형 웹사이트나 텔레그램 채널을 통해 실행되는 즉시 교환을 포함한 코인 스왑 서비스를 포함합니다.
작년, 탈중앙화 거래소 집계기인 CoWSwap은 침해를 보고했습니다. 플랫폼은 침해된 계약이 솔버 계정 악용에서 비롯되었다고 밝혔습니다. CoWSwap의 모델에서 사용자는 거래 의도에 서명하며, 이는 제3자 솔버에게 전달되어 최고의 가격을 제공하고 수집된 수수료를 저장하기 위해 경쟁합니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
플로렌스 무차이
플로렌스는 지난 6년 동안 암호화폐, 게임, 기술 및 AI 뉴스를 다루어 왔습니다. 메루 과학기술대학교에서 컴퓨터학을, MMUST에서 재난 관리 및 국제 외교를 전공하며 언어, 관찰력 및 기술적 역량을 충분히 갖추었습니다. 플로렌스는 VAP 그룹에서 근무했으며 여러 암호화폐 미디어 하우스의 편집자로 활동했습니다.
