Matcha Meta 报告发生安全漏洞，1,680 万美元被盗，更多用户面临风险

根据 Web3 安全平台 PeckShield 的报告，由 0x 构建的交换和桥接聚合平台 Matcha Meta 因 SwapNet 安全漏洞损失了 1,680 万美元的数字资产。

Matcha Meta 周一披露，它在周末遭受了一次安全漏洞，攻击者从集成在 Matcha Meta 界面中的外部聚合器 SwapNet 中骗取了代币。该平台表示，禁用了“一次性批准”功能并向个别聚合器授予直接代币权限的用户面临资金损失的风险。

我们意识到 SwapNet 发生了一起事件，那些关闭了一次性批准功能的 Matcha Meta 用户可能受到了影响

我们已与 SwapNet 团队取得联系，他们已暂时禁用其合约

团队正在积极调查并将提供…

— Matcha Meta (@matchametaxyz) 1月 25日, 2026

在 Swap 聚合器在 X 上发表的声明中，MM 表示，在交易记录中出现来自 SwapNet 路由器合约的大额未经授权代币移动记录后，它意识到了可疑活动。该平台确认已联系 SwapNet 团队，该团队“暂时禁用了其合约”以防止更多损失。 

Matcha Meta 黑客将 3k 枚 Ether 代币从受害者处兑换

根据区块链安全公司 PeckShield, 攻击者通过代币批准和兑换提取资金。他们从 Base（Ether 的 Layer-2 区块链）上的受害者地址转移了约 1,050 万 USDC，然后将稳定币兑换为 3,655 枚 Ether，将价值整合到更具流动性的资产中。

完成兑换后，攻击者开始将 Ether 从 Base 桥接到以太坊主网，以隐藏任何交易痕迹。桥接是使用智能合约或中间协议在区块链之间转移资产的过程。虽然在大多数情况下被认为是“合法的”，但黑客使用它是因为它使得追踪他们的操作几乎不可能。

肇事者此前已授予代币授权，以在未经用户签名的情况下转移资金，这授予了 智能合约 花费其代币的权限。如果授权设置为无限，恶意或受损的合约可以耗尽资金直到余额耗尽。 

Matcha Meta 表示，使用其一次性批准系统与平台交互的用户未受到影响。该功能通过 0x 的 AllowanceHolder 和 Settler 合约路由代币权限，通过为单笔交易授予批准来限制交易者的风险敞口。 

“在与 0x 的协议团队审查后，我们确认此次事件的性质与 0x 的 AllowanceHolder 或 Settler 合约无关，”Matcha Meta 稍后在 X 上写道。该公司补充说，禁用一次性批准并在聚合器合约上设置直接授权的用户“承担每个聚合器的风险”。

在与 0x 协议团队审查后，我们确认此次事件的性质与 0x 的 AllowanceHolder 或 Settler 合约无关。

因此，通过一次性批准与 Matcha Meta 交互的用户是安全的。

已禁用一次性批准的用户… https://t.co/VQVmj4LL0F

— Matcha Meta (@matchametaxyz) 1月 25日, 2026

该 DEX 交换平台移除了用户通过其界面在聚合器上设置直接授权的函数，同时要求社区撤销 SwapNet 路由器合约上的任何现有权限。 

DeFi 智能合约黑客攻击在 2026 中持续存在

Matcha Meta 事件发生仅六天后，具有自动执行功能的去中心化金融协议 Makina Finance 遭受网络漏洞，其 Curve 上的 DUSD/USDC 流动性池被清空。

作为 在 6 月报道 由 Cryptopolitan 报道，黑客从 Makina 的 Curve 稳定币池中提取了约 1,299 枚 Ether，当时价值 413 万美元。此次漏洞涉及与链上定价预言机（智能合约用于确定资产价值的数据源）连接的非托管流动性提供者。 

根据区块链分析公司 Elliptic 的说法，当今暗网洗钱的大部分涉及硬币兑换服务，包括通过独立网站或 Telegram 频道运行的即时交易所。

去年，去中心化交易所聚合器 CoWSwap 报告了一起漏洞。 该平台表示，受损合约源于对求解器账户的利用。在 CoWSwap 的模型中，用户签署交易意图，这些意图传递给第三方求解器，求解器竞争提供最佳价格并存储收取的费用。