Napagitnaan ng Matcha Meta ang $16.8M SwapNet Smart Contract Hack

Pambungad
Noong Linggo, inilabas ng Matcha Meta na isang paglusob sa seguridad na may kaugnayan sa isa sa mga pangunahing nagbibigay ng likididad nito, ang SwapNet, ay nasira ang mga user na nagbigay ng pahintulot sa router contract ng SwapNet. Ang insidente ay nagpapakita kung paano ang mga pinahihintulot na komponente sa loob ng mga decentralized exchange ecosystem ay maaaring maging vector ng atake kahit na ang pangunahing istraktura ay nananatiling buo. Ang mga unang pagsusuri ng publiko ay nagsasaad ng mga pagkawala na nasa antas ng halos $13 milyon hanggang $17 milyon, kasama ang on-chain activity na nakatuon sa Base network at cross-chain movements patungo sa EthereumAng pagtatala ay nagdulot ng mga kahilingan para sa mga user na kumuha ng mga pahintulot at pinabilis ang pagsusuri kung paano ang mga smart contract na nakalantad sa mga panlabas na router ay iniiingat.

Mga Mahalagang Punto

• Ang paglabag ay nagsimula sa pamamagitan ng kontrata ng router ng SwapNet, na nagpapahiwatig ng isang mabilis na tawag sa mga user upang kumuha ng mga pahintulot upang maiwasan ang karagdagang mga pagkawala.
• Mga pag-estimate ng mga puhunan na kinauwestyon ay naiiba: Ipinahayag ng CertiK ang humigit-kumulang $13.3 milyon, samantala ang PeckShield ay nagsisikat ng hindi bababa sa $16.8 milyon sa Base network.
• Sa Base, ang mananapalag na nagpalit ng halos 10.5 milyon na USDC para sa halos 3,655 ETH at nagsimulang mag-bridge ng mga pondo patungo sa Ethereum.
• Ibinibilang ng CertiK ang kahinaan sa isang arbitrary call sa 0xswapnet contract, na nagpapahintulot sa attacker na magtransfer ng mga pondo na wala nang aprubahan.
• Inidikda ng Matcha Meta na ang exposure ay may kaugnayan sa SwapNet kaysa sa sariling istruktura nito, at hindi pa binigyan ng mga opisyales ang mga detalye tungkol sa kompensasyon o mga panukala.
• Ang mga kahinaan ng smart-contract ay patuloy na naging pangunahing dahilan ng mga pagsalakay sa crypto, kumakatawan sa 30.5% ng mga insidente noong 2025, ayon sa taunang ulat sa seguridad ng SlowMist.

Naitala ang mga Tickers

Naitala na mga ticker: Crypto → USDC, ETH, TRU

Sentiment

Sentiment: Neutral

Epekto sa Presyo

Epekto sa presyo: Negative. Ang paglabag ay nagpapakita ng patuloy na mga panganib sa seguridad sa DeFi at maaaring makaapekto sa sentiment ng panganib sa paligid ng responsable na pagbibigay ng likididad at pamamahala ng pag-apruba.

Idea sa Paggawa ng Transaksyon (Hindi Ito Financial Advice)

Ideya sa Paggawa ng Transaksyon (Hindi Ito Payong Pangkabuhayan): Pananatilihin. Ang insidente ay partikular sa isang paraan ng pag-apruba ng router at hindi direktang nagpapahiwatig ng mas malawak na systemik na panganib sa lahat ng mga protocol ng DeFi, ngunit ito ay nangangailangan ng pag-iingat sa pamamahala ng pag-apruba at likwididad sa cross-chain.

Konteksto ng Merkado

Konteksto ng merkado: Ang kaganapan ay dumating sa gitna ng mas mataas na pansin sa seguridad ng DeFi at aktibidad ng cross-chain, kung saan ang mga nagbibigay ng likididad at aggregator ay mas nakasalalay sa mga modular na komponente. Ito ay nasa gitna rin ng isang panimulang pagtalakay tungkol sa pamamahala sa on-chain, mga pagsusuri, at kailangan ng matibay na mga panlaban habang ang mga protokolo ng blue-chip at mga bagong manlalaro ay kumikita ng tiwala ng mga user.

Bakit ito mahalaga

Ang mga insidente sa seguridad sa mga aggregator ng DeFi ay nagpapakita ng patuloy na umiiral na mga panganib kapag nagkakaugnay ang maraming protocol layers. Sa kasong ito, ang paglabag ay inaakusahan dahil sa isang kahinaan sa router contract ng SwapNet kaysa sa pangunahing arkitektura ng Matcha Meta, na nagpapakita kung paano ang tiwala ay inilalagay sa iba't ibang bahagi ng isang komposable ecosystem. Para sa mga user, ang kaganapan ay isang paalala na suriin at kailanganan ang mga pahintulot sa token nang regular, lalo na pagkatapos ng mga suspetsa ng hindi normal na aktibidad sa on-chain.

Ang epekto sa pananalapi, kahit pa rin nasa proseso, ay nagpapalakas ng kahalagahan ng matitikas na pagsusuri sa mga panlabas na nagbibigay ng likididad at kailangan ng pagsusuri sa pamamagitan ng oras ng pagpapahintulot. Ang katotohanan na nakaya ng mga nagnanakaw na palitan ang malaking bahagi ng kinita nilang pera sa stablecoins at kaya nilang ilipat ang mga asset papunta sa Ethereum ay nagpapakita ng mga ugnayan ng cross-chain na nagpapagawa ng problema sa pagsubaybay at pagbabalik ng mga ari-arian pagkatapos ng insidente. Ang mga exchange at mga mananaliksik sa seguridad ay nagpapahalaga ng halaga ng mga limitadong, may takdang oras na mga pahintulot at kakayahang mag-revoke nang maaga upang limitahan ang epekto ng ganitong mga pag-atake.

Mula sa pananaw ng merkado, ang kaganapan ay nagdaragdag sa isang mas malawak na kwento tungkol sa kahinaan ng walang pahintulot na pananalapi at sa patuloy na laban upang maisagawa ang mga matibay at maausisa na seguridad sa iba't ibang antas ng mga ekosistema ng DeFi. Bagaman hindi ito isang pangkalahatang pagkondena ng Matcha Meta, ang insidente ay nagpapalakas ng mga hinaing para sa mga standardisadong seguridad na pagsusuri ng mga router contract at mas malinaw na responsibilidad para sa mga third-party na module na kumikilos sa mga pondo ng user.

Ano ang susunod na tingnan

• Ang opisyalis na mga update ng Matcha Meta tungkol sa ugat ng problema at anumang mga plano para sa remediation o kompensasyon para sa mga naapektadong user.
• Anumang panlabas na pagsusuri o pagsusuri ng ikatlong partido sa kontrata ng router ng SwapNet at mga pagbabago sa pamamahala upang maiwasan ang muling paglitaw.
• Pagsusuri sa on-chain ng mga gawain ng Base-to-Ethereum bridge na may kaugnayan sa insidente na ito at mga susunod na galaw ng pera.
• Mga pag-unlad ng regulatory at industriya-standard sa paligid ng seguridad ng DeFi, partikular ang mga framework ng pagsusuri ng smart-contract at kontrol sa pahintulot ng user.

Mga Pinagmulan & Pagsusuri

• Ang post ni Matcha Meta sa X na nagpapahiwatig sa mga user na kailangang i-revoke ang mga pahintulot sa SwapNet pagkatapos ng paglabas.
• CertiK advisory na nagpapaliwanag ng exploit bilang nanggagaling sa isang arbitrary call sa 0xswapnet contract na nagpapahintulot sa paglipat ng mga naaprubahang pera.
• Ang update ng PeckShield ay nagmamarka ng halos $16.8 milyon na nawala sa Base, kabilang ang palitan ng USDC para sa ETH at pag-bridge patungo sa Ethereum.
• Ang 2025 Blockchain Security at AML Annual Report ng SlowMist na nagpapaliwanag ng bahagi ng mga insidente ayon sa kategorya, kabilang ang 30.5% na ipinagmamalaki sa mga kahinaan ng smart-contract at 24% sa mga pagkakaantala ng account.
• Cointelegraph ang coverage ng insidente ng Truebit, kabilang ang $26 milyon na pagkawala at ang pagbaba ng TRU token, para sa mas malawak na konteksto tungkol sa panganib na pagpapalagom ng smart-contract.

Pinalaking artikulo

Sa pinakabagong halimbawa kung paano maa-compromise ang DeFi mula sa loob, inilahad ng Matcha Meta na mayroong seguridad na paglusob na nangyari sa pamamagitan ng isa sa mga pangunahing paraan ng pagbibigay ng likididad nito—router contract ng SwapNet. Ang nangyari sa user ay ang pagkakasawi ng pag-apruba ng token, na ang protocol ay eksplisitong inanyayahan sa kanyang pampublikong post. Hindi umanom ang paglusob mula sa pangunahing istraktura ng Matcha Meta, ayon sa kumpaniya, kundi mula sa isang kahinaan sa router layer ng isang kasapi na nagbigay ng pahintulot upang gumawa ng pera sa ngalan ng mga user.

Ang mga unang pagtataya mula sa mga mananaliksik sa seguridad ay inilagay ang epekto sa pananalapi sa isang mahusay na hanay. Inilahad ng CertiK ang mga nawawalang halaga sa halos $13.3 milyon, habang inulat ng PeckShield ang isang mas mataas, minimum na halaga na $16.8 milyon sa network ng Base. Ang pagkakaiba ay nagpapakita ng iba't ibang paraan ng accounting sa on-chain at timing ng mga pagsusuri pagkatapos ng insidente, ngunit pareho ang mga pagsusuri ay kumpirmado ang isang kahalagahan ng nawala na may kaugnayan sa router functionality ng SwapNet. Sa Base, ang manlulupig ay iniulat na nagpalit ng halos 10.5 milyon USDC (CRYPTO: USDC) para sa halos 3,655 ETH (CRYPTO: ETH) at nagsimulang mag-bridge ng mga kita patungo sa Ethereum, ayon sa bulletin ng PeckShield na inilathala sa X.

Hanggang ngayon, ~$16.8M halaga ng crypto ang nakuha na. Sa Base, inilipat ng manlulupig ang ~10.5M USDC para sa ~3,655 ETH at nagsimulang mag-bridge ng pera patungo sa Ethereum.

Ang pagsusuri ng CertiK ay nagbibigay ng teknikal na paliwanag para sa pag-atake: isang arbitraryong tawag sa kontrata ng 0xswapnet ay nag-allow sa manlulupig na kunin ang mga pondo na naaprubahan na ng mga user, na epektibong lumikha ng direktang pagkuha mula sa liquidity pool ng SwapNet at halip ay gumamit ng mga pahintulot na ibinigay sa router. Ang pagkakaiba ay mahalaga dahil ito ay nagpapakita ng isang problema sa pamamahala o disenyo sa antas ng pagpapagsama kaysa sa isang paglabag sa sariling custody o kontrol sa seguridad ng Matcha Meta.

Nakilala ng Matcha Meta na ang exposure ay kumokonekta sa SwapNet at hindi inaakusahan ang sariling infrastraktura ang kahinaan. Ang mga pagtatangka na makakuha ng komento tungkol sa mga mekanismo ng kompensasyon o mga panlaban ay hindi agad nasagot, na nag-iwan ng mga apektadong user na walang malinaw na paraan ng pagbabago sa maikling panahon. Ang insidente ay nagpapakita ng isang mas malawak na profile ng panganib para sa mga DEX aggregator: kapag ang mga pakikipagtulungan ay nagpapakilala ng mga bagong interface ng kontrata, maaaring maging target ng mga manlulupig ang mga permissioned na flow na nasa krus ng mga pahintulot ng user at mga awtomatikong transfer ng pera.

Ang pangkalahatang kaligtasan sa larangan ng crypto ay patuloy na mahigpit na mapanganib. Sa 2025, ang mga kahinaan ng smart-contract ay naging pinakamalaking dahilan ng mga pagsalakay sa crypto, kumakatawan sa 30.5% ng mga kaso at 56 na kabuuang mga kaganapan, ayon sa taunang ulat ng SlowMist. Ang bahaging ito ay nagpapakita kung paano kahit ang mga proyekto na may mataas na antas ng kasanayan ay maaaring mapagkamal ng mga bug sa mga espesyal na kaso o maling pagkakasunod-sunod ng code na nagpapagana ng awtomatikong pagpapadala ng halaga. Ang mga pagkakasuhan ng account at mga nasiraan na social account (tulad ng X handles ng mga biktima) ay kumakatawan din sa malaking bahagi ng mga kaganapan, na nagpapakita ng multi-vector na katangian ng mga tool ng mga manlulupig.

Sa labas ng mga aspeto na teknikal lamang, ang insidente ay nagpapalakas ng isang lumalagong usapin tungkol sa paggamit ng artificial intelligence sa seguridad ng smart-contract. Ang mga ulat ng DECEMBER ay tinalakay na ang mga AI agent na komersyal na magagamit ay natuklasan ang halos $4.6 milyon na halaga ng mga exploit sa on-chain sa real-time, kumukuha ng mga tool tulad ng Claude Opus 4.5, Claude Sonnet 4.5, at GPT-5 ng OpenAI. Ang paglitaw ng mga teknik ng pagsubaybay at pag-atake na may AI ay idinagdag ang isang antas ng kumplikado sa pagsusuri ng panganib para sa parehong mga auditor at operator. Ang lumalaganap na mapagkukunan ng panganib ay nagpapalakas ng pangangailangan para sa patuloy na pagsubaybay, mabilis na pagkansela ng mga pahintulot, at mga hakbang sa depensa na may kakayahang umangkop sa mga ekosistema ng DeFi.

Dalawang linggo bago ang insidente ng SwapNet, isang iba pang mataas na profile na kahinaan ng smart-contract ay nagresulta sa $26 milyon na mga pagkawala para sa protocol ng Truebit, na sinusundan ng isang malaking reaksyon sa presyo ng token TRU (CRYPTO: TRU). Ang mga ganitong pangyayari ay nagpapahiwatig ng katotohanan na ang layer ng smart-contract ay nananatiling pangunahing lugar ng pag-atake para sa mga hacker, kahit na ang iba pang mga domain sa loob ng crypto sphere—custody, sentralisadong infrastraktura, at mga komponente na nasa labas ng blockchain—ay dinaranas ng patuloy na mga banta. Ang paulit-ulit na tema ay ang pamamahala ng panganib ay dapat lumawig sa labas ng mga pagsusuri at bounty ng bug upang kasama ang buhay na pamamahala, pagsusuri sa real-time, at mapagmasid na mga gawi ng user sa paligid ng mga pahintulot at mga galaw sa cross-chain.

Samantalang ang merkado ay naghihiram ng mga implikasyon, inilalatag ng mga nangunguna na ang daan patungo sa kahusayan sa DeFi ay nakasalalay sa mga layered na seguridad at transparent na tugon sa insidente. Bagaman tila hiwa hiwalay ang kahinaan ng SwapNet sa isang tiyak na integasyon, ang insidente ay nagpapalakas ng isang pangunahing aral: kahit ang mga nagsisigla na kasosyo ay maaaring magdulot ng sistemang panganib kung ang kanilang mga kontrata ay magkakaugnay sa mga pondo ng user sa paraan na umiikot sa mga karaniwang seguridad. Ang talaan sa on-chain ay patuloy na magpapatuloy habang ang mga imbestigador, ang Matcha Meta, at ang kanyang mga kasosyo sa likididad ay maglalagay ng forensic na pagsusuri at magpapasya kung ang mga biktima ay makakatanggap ng kompensasyon o mga pagpapabuti sa kontrol ng panganib na maaaring maiwasan ang mga katulad na insidente sa hinaharap.

Ang artikulong ito ay una nang nailathala bilang Napagitnaan ng Matcha Meta ang $16.8M SwapNet Smart Contract Hack sa Mga Balitang Pambreak ng Crypto – ang iyong mapagkakatiwalaang mapagkukunan ng mga balita tungkol sa crypto, mga balita tungkol sa Bitcoin, at mga update sa blockchain.