Matcha Meta сообщает о взломе безопасности, украдено $16,8 млн, под угрозой больше пользователей
- Matcha Meta раскрывает взлом безопасности, связанный с SwapNet, в результате которого было выведено около $16,8 млн после того, как злоумышленники злоупотребили прямыми разрешениями на токены.
- Согласно данным ончейн-аналитики, эксплуатация заключалась в обмене USDC на Ether в сети Base перед переводом средств в Ethereum.
- Инцидент происходит на фоне недавних взломов DeFi-проектов Makina и CoWSwap, что подчеркивает сохраняющиеся риски, связанные с разрешениями смарт-контрактов.
Платформа агрегации свопов и мостов, созданная 0x, Matcha Meta, потеряла $16,8 млн цифровых активов из-за взлома безопасности SwapNet, согласно платформе безопасности Web3 PeckShield.
Matcha Meta сообщила в понедельник, что пострадала от эксплуатации безопасности в выходные, когда злоумышленники выманили токены из внешнего агрегатора, интегрированного в интерфейс Matcha Meta под названием SwapNet. Платформа заявила, что пользователи, отключившие функцию «Одноразовых разрешений» и предоставившие прямые разрешения на токены отдельным агрегаторам, подверглись риску потери средств.
Мы знаем об инциденте с SwapNet, которому могли подвергнуться пользователи Matcha Meta, если они отключили Одноразовые разрешения
Мы находимся в контакте с командой SwapNet, и они временно отключили свои контракты
Команда активно расследует инцидент и предоставит…
— Matcha Meta (@matchametaxyz) января 25, 2026
В заявлении агрегатора свопов в X компания MM сообщила, что узнала о подозрительной деятельности после появления записей о крупных несанкционированных перемещениях токенов из контракта роутера SwapNet в транзакционных записях. Платформа подтвердила, что связалась с командой SwapNet, которая «временно отключила свои контракты», чтобы предотвратить дальнейшие потери.
Хакер Matcha Meta обменял 3k Ether монет жертв
Согласно блокчейн-компании по безопасности PeckShield, злоумышленник вывел средства через разрешения на токены и свопы. Они перевели примерно 10,5 млн USDC с адресов жертв на сети Base, блокчейне второго уровня Ethereum, затем обменяли стейблкоины на 3 655 Ether, консолидировав стоимость в более ликвидный актив.
Завершив свопы, злоумышленник начал мостить Ether с Base на основную сеть Ethereum, чтобы скрыть следы транзакций. Мостинг — это процесс передачи активов между блокчейнами с использованием смарт-контрактов или промежуточных протоколов. Хотя в большинстве случаев это считается «легитимным», хакеры используют его, потому что это делает практически невозможным отслеживание их операций.
Преступник ранее предоставил разрешения на токены для перемещения средств без подписи пользователя, что дает разрешение на смарт-контракт трату их токенов. Если разрешение установлено на неограниченный размер, вредоносный или скомпрометированный контракт может вывести средства до полного истощения баланса.
Matcha Meta заявила, что пользователи, взаимодействовавшие с платформой с использованием системы Одноразовых разрешений, не пострадали. Эта функция направляет разрешения на токены через контракты AllowanceHolder и Settler от 0x, ограничивая воздействие трейдера, предоставляя разрешения только для одной транзакции.
«После консультации с командой протокола 0x мы подтвердили, что характер инцидента не был связан с контрактами AllowanceHolder или Settler от 0x», — написала Matcha Meta в X позже. Компания добавила, что пользователи, отключившие Одноразовые разрешения и установившие прямые разрешения на контракты агрегаторов, «принимают риски каждого агрегатора».
После консультации с командой протокола 0x мы подтвердили, что характер инцидента не связан с контрактами AllowanceHolder или Settler от 0x.
Пользователи, взаимодействовавшие с Matcha Meta через Одноразовое разрешение, таким образом, в безопасности.
Пользователи, отключившие функцию One-Time… https://t.co/VQVmj4LL0F
— Matcha Meta (@matchametaxyz) января 25, 2026
Платформа DEX-свопов удалила функцию для пользователей устанавливать прямые разрешения на агрегаторы через свой интерфейс, одновременно попросив сообщество отозвать любые существующие разрешения в контракте роутера SwapNet.
Взломы смарт-контрактов DeFi продолжаются в 2026
Инцидент с Matcha Meta произошел всего через шесть дней после того, как Makina Finance, протокол децентрализованных финансов с функциями автоматического исполнения, пострадал от взлома сети, в результате которого была выведена ликвидность пула DUSD/USDC на Curve.
Как сообщал сообщает Cryptopolitan, хакеры вывели около 1 299 Ether из пула стейблкоинов Makina на Curve, что на тот момент составляло $4,13 млн. Взлом включал неконтролируемых поставщиков ликвидности, подключенных к ончейн-ораклу ценообразования, потоку данных, используемому смарт-контрактами для определения стоимости активов.
По данным блокчейн-аналитической компании Elliptic, большая часть стирания денег в даркнете сегодня включает услуги обмена монет, включая мгновенные обменники, работающие через отдельные веб-сайты или каналы Telegram.
В прошлом году агрегатор децентрализованных бирж CoWSwap сообщил о взломе. Платформа заявила, что скомпрометированный контракт возник в результате эксплуатации аккаунта решателя. В модели CoWSwap пользователи подписывают намерения о сделках, которые передаются сторонним решателям, которые соревнуются за предоставление лучших цен и хранят собранные комиссии.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
