Коротко
- Вразливість SwapNet спричинила витік $16,8M після того, як користувачі вимкнули захист одноразових дозволів.
- Зловмисник обміняв $10,5M USDC на ETH на Base перед мостом до Ethereum.
- Matcha Meta вимкнула уразливі контракти, оскільки компанії з безпеки вказують на ширші ризики у DeFi.
Злом, пов’язаний із SwapNet, призвів до втрат близько $16,8 мільйонів, що вплинуло на користувачів, які взаємодіяли через Matcha Meta. Інцидент здебільшого торкнувся користувачів, які вимкнули одноразові дозволи, тим самим піддавши ризику постійні дозволи на токени.
Команда з безпеки блокчейну PeckShieldAlert виявила вразливість і простежила початкові рухи коштів. Зловмисник цілеспрямовано атакував контракти маршрутизатора SwapNet, які зберігали необмежені дозволи від постраждалих гаманців користувачів.
У мережі Base зловмисник обміняв приблизно $10,5 мільйонів USDC на близько 3 655 ETH. Незабаром після цього він почав мостити конвертовані активи до основної мережі Ethereum, щоб ускладнити відстеження.
SwapNet працює як маршрутизатор ліквідності, який використовується Matcha Meta для пошуку цін і глибокої ліквідності. Вразливість полягала у зловживанні існуючих дозволів, а не у зломі приватних ключів або основної інфраструктури.
Matcha Meta, створена командою 0x, підтвердила проблему і одразу вимкнула уразливі контракти SwapNet. Платформа також видалила опцію, яка дозволяла користувачам надавати прямі дозволи третім сторонам-агрегаторам.
Розслідування розширюється, оскільки компанії з безпеки вказують на ширші ризики
Додатковий аналіз показав, що вразливість виникла через довільний виклик у контрактах SwapNet. Ця помилка дозволяла зловмисникам переводити затверджені токени без запиту нових дозволів.
Компанія з безпеки BlockSec повідомила, що кілька контрактів на різних ланцюгах зазнали втрат понад $17 мільйонів. Постраждали мережі Ethereum, Arbitrum, Base і BNB Chain, що розширює масштаб інциденту.
Окремо CertiK оцінив, що викрадено близько $13,3 мільйонів USDC у зв’язку з цією діяльністю.
Деякі контракти залишилися закритими і неперевіреними під час розгортання.
Matcha Meta пізніше підтвердила, що основні контракти 0x не постраждали від інциденту.
Користувачі, які використовували одноразові дозволи через інфраструктуру 0x, залишилися незатронутими.
Цей інцидент знову підняв питання щодо постійних дозволів на токени у децентралізованих фінансах.
Необмежені дозволи забезпечують зручність, але підвищують ризики під час збоїв у смарт-контрактах.
Тим часом, дослідник блокчейну ZachXBT критикував затримку у відповіді Circle щодо заморожування залишків USDC. Близько $3 мільйонів, за повідомленнями, залишалися на адресах, які могли бути заморожені під час відповіді.
Злом додає до зростаючого списку провалів безпеки у DeFi на початку 2026 року. Дані галузі показують, що викрадені криптофонди досягли рекордних рівнів за останні роки, що посилює тиск на практики безпеки протоколів.
|
| ДИСКЛЕЙМЕР: Інформація на цьому сайті надається як загальний коментар до ринку і не є інвестиційною порадою. Ми рекомендуємо проводити власне дослідження перед інвестуванням. |
Застереження: Інформація на цій сторінці може походити від третіх осіб і не відображає погляди або думки Gate. Вміст, що відображається на цій сторінці, є лише довідковим і не є фінансовою, інвестиційною або юридичною порадою. Gate не гарантує точність або повноту інформації і не несе відповідальності за будь-які збитки, що виникли в результаті використання цієї інформації. Інвестиції у віртуальні активи пов'язані з високим ризиком і піддаються значній ціновій волатильності. Ви можете втратити весь вкладений капітал. Будь ласка, повністю усвідомлюйте відповідні ризики та приймайте обережні рішення, виходячи з вашого фінансового становища та толерантності до ризику. Для отримання детальної інформації, будь ласка, зверніться до
Застереження.
Пов'язані статті
Керівник відділу технічних розробок Ripple: Експлойт Kelp DAO відображає компроміси в безпеці мостів
Девід Шварц, почесний технічний директор (CTO Emeritus) Ripple, проаналізував вразливості безпеки мостів після експлойту Kelp DAO на $292 мільйонів. Він зазначив, що провайдери віддавали перевагу зручності над надійною безпекою, підриваючи ключові захисні можливості. Злом Kelp DAO стався через витік приватного ключа, що було посилено спрощеною конфігурацією безпеки в їхній реалізації LayerZero.
CryptoFrontier2год тому
Затримка відшкодування податку від IRS спричинила небезпеку зупинки HYTOPIA, платформа буде офлайн від 1 до 3 місяців
Платформа метавсесвіту HYTOPIA через те, що очікувані від IRS великі суми податкових відшкодувань ще не надійшли, вирішила тимчасово призупинити роботу базової інфраструктури та прогнозує зупинку на 1–3 місяці. Суперечка платформи з HY Foundation щодо несплачених платежів також спричинила затримку доставки частини токенів. HYTOPIA обіцяє прозоро врегулювати це питання та просить спільноту зберігати терпіння і чекати.
MarketWhisper3год тому
Curve Finance призупиняє запобіжні заходи для LayerZero кросчейн-трансферів, міст для CRV та crvUSD приймає обмеження
Curve Finance через атаку на пов’язані з rsETH елементи базової інфраструктури LayerZero призупинила кросчейн-функціональність, щоб запобігти ризикам, що вплинуло на кросчейн-бриджинг CRV та швидкий бриджинг crvUSD. Засновник Єгоров зазначив, що ця подія демонструє ризики «неізольованого кредитування», і запропонував як альтернативу повністю ізольований режим. Kelp DAO через атаку зазнала втрат приблизно на 292 млн доларів США, що вплинуло на кредитну активність платформи Aave.
MarketWhisper4год тому
Kelp мостове з’єднання зазнало впливу хакерської хвилі, Aave: TVL різко впав, з’явилися безнадійні борги на суму 196 млн
У результаті атаки на кросчейн-мост для перелику ліквідності (liquidity restaking) протоколу Kelp було викрадено 116,500 rsETH і внесено в Aave V3, що призвело до формування приблизно $196 млн безнадійної заборгованості. Контракт Aave не зазнав впливу, але ця подія виявила системний ризик застави LRT, що змушує DeFi-протоколи переглянути моделі оцінки ризиків і може призвести до втрат для власників stkAAVE.
MarketWhisper4год тому
Угода про резерв тимчасово призупиняє карбування eUSD та USD3, функція викупу працює та доступна у звичайному режимі
Угоду Reserve від 20 квітня призупинено через атаку на rsETH з боку Kelp DAO: призупинено карбування eUSD та USD3 і операції з розблокування RSR, але функція погашення працює нормально. Атака спричинила кризу ліквідності в Aave, значно зменшилися депозити, ціна токена AAVE впала.
MarketWhisper4год тому
Експлойт моста Kelp DAO призводить до $293M карбування, залишає Aave із понад $200M у боргу за безнадійними вимогами
Атакувальник використав вразливість у кросчейн-мості Kelp DAO, викравши $293 мільйонів незабезпеченого rsETH. Інцидент спричинив значні збитки для DeFi-платформ: Aave зіткнувся з боргом за безнадійними вимогами до $236 мільйонів і суттєвим впливом на ринок.
GateNews11год тому
