Matcha Meta Diserang dengan Hack Kontrak Pintar SwapNet $16.8M

Pengenalan
Pada hari Ahad, Matcha Meta mengesahkan satu kebocoran keselamatan yang berkaitan dengan salah satu pemberi likuiditi utamanya, SwapNet, yang memudaratkan pengguna yang telah memberi kelulusan kepada kontrak router SwapNet. Kejadian ini menegaskan bagaimana komponen berlesen dalam ekosistem pertukaran perkhidmatan perniagaan boleh menjadi vektor serangan walaupun apabila infrastruktur utama tetap utuh. Penilaian awal awam menempatkan kehilangan dalam lingkungan kira-kira $13 juta hingga $17 juta, dengan aktiviti berantai berpusat pada rangkaian Base dan pergerakan antara rangkaian ke EthereumPendedahan ini mempromosikan dorongan kepada pengguna untuk mencabut kelulusan dan memperhebatkan pengawasan terhadap cara kontrak pintar yang terdedah kepada pemandu luar dijaga keselamatannya.

Poin Utama

• Kebocoran bermula melalui kontrak router SwapNet, menyebabkan panggilan segera kepada pengguna untuk mencabut kelulusan untuk mengelakkan kehilangan lanjut.
• Anggaran dana yang dicuri bervariasi: CertiK melaporkan kira-kira $13.3 juta, manakala PeckShield mengira sekurang-kurangnya $16.8 juta pada rangkaian Base.
• Di Base, penyerang menukar kira-kira 10.5 juta USDC untuk kira-kira 3,655 ETH dan bermula memindahkan dana ke Ethereum.
• CertiK mengaitkan kelemahan itu kepada panggilan sewenang-wenang dalam kontrak 0xswapnet, yang membenarkan penyerang memindahkan dana yang telah diberi kelulusan kepadanya.
• Matcha Meta menunjukkan pendedahan itu berkaitan dengan SwapNet berbanding infrastruktur sendiri, dan pihak berkuasa belum memberi butiran mengenai kompensasi atau jaminan.
• Kekurangan kontrak pintar terus menjadi penggerak utama eksploitasi kripto, menyumbang 30.5% daripada kes-kes pada tahun 2025, mengikut laporan keselamatan tahunan SlowMist.

Pemalar Yang Dinyatakan

Pemalar yang disebut: Kripto → USDC, ETH, TRU

Sentimen

Sentimen: Neutral

Pembebanan Harga

Kesan harga: Negatif. Kecacatan menunjukkan risiko keselamatan yang sedang berlaku dalam DeFi dan boleh mempengaruhi sentimen risiko mengenai pengagihan kecairan yang bertanggungjawab dan pengurusan kelulusan.

Idea perdagangan (Bukan Nasihat Kewangan)

Idea perdagangan (Bukan Nasihat Kewangan): Pegang. Kes tersebut adalah khusus kepada laluan kelulusan router dan tidak secara langsung bermaksud risiko sistemik yang lebih luas kepada semua protokol DeFi, tetapi ia memerlukan kewaspadaan terhadap pengurusan kelulusan dan kecairan antara rantaian.

Konteks pasaran

Konteks pasaran: Kegiatan ini berlaku dalam keadaan perhatian yang meningkat terhadap keselamatan DeFi dan aktiviti lintas-rantaian, di mana pemberi cecairan dan penggumpul semakin bergantung kepada komponen modul. Ia juga berlaku dalam suasana perbincangan berkembang tentang pentadbiran berantai, audit, dan keperluan untuk jaminan keselamatan yang kukuh apabila protokol berkualiti tinggi dan peserta baru bersaing untuk kepercayaan pengguna.

Mengapa ia penting

Insiden keselamatan di agregator DeFi menunjukkan permukaan risiko yang kekal hadir apabila pelbagai lapisan protokol berinteraksi. Dalam kes ini, kebocoran disebabkan oleh kelemahan dalam kontrak pemandu SwapNet, bukan pada arsitek asas Matcha Meta, yang menekankan bagaimana kepercayaan diagihkan merentasi komponen rakan kongsi dalam ekosistem komposit. Bagi pengguna, episod ini bertindak sebagai pengingat untuk meninjau dan mencabut kelulusan token secara berkala, terutamanya selepas mencurigai aktiviti luar biasa di rantai.

Impak kewangan, walaupun masih berkembang, memperkuatkan kepentingan pengembaraan yang teliti terhadap pemberi cecair luar dan keperluan untuk memantau secara masa nyata aliran kelulusan. Fakta bahawa penyerang berjaya menukar sebahagian besar dana yang dicuri kepada stablecoins dan kemudian memindahkan aset ke Ethereum menunjukkan dinamik lintas-rantaian yang memperumit kesedaran dan usaha pemulihan selepas kejadian. Pertukaran dan penyelidik keselamatan menekankan nilai skop keizinan yang terperinci, berkala dan keupayaan mencabut awal untuk membatasi jarak kejutan eksploitasi sedemikian.

Dari perspektif pasaran, episod ini menambahkan kepada naratif yang lebih luas tentang ketidaksempurnaan kewangan tanpa kebenaran dan perlumbaan yang sedang berlangsung untuk melaksanakan jaminan yang kukuh dan boleh disemak di seluruh lapisan ekosistem DeFi. Walaupun bukan penghakiman sistematik terhadap Matcha Meta, kejadian ini memperkuatkan permintaan untuk audit keselamatan piawaian kontrak pemandu dan tanggungjawab yang lebih jelas untuk modul pihak ketiga yang berinteraksi dengan dana pengguna.

Apa yang perlu dilihat seterusnya

• Kemas kini rasmi Matcha Meta mengenai punca asal dan sebarang rancangan pemulihan atau kompensasi untuk pengguna yang terjejas.
• Audiit luar atau ulasan pihak ketiga terhadap kontrak router SwapNet dan perubahan pentadbiran untuk mengelakkan berlakunya semula.
• Pemantauan on-chain aktiviti jambatan Base ke Ethereum berkaitan dengan kejadian ini dan pergerakan dana seterusnya.
• Perkembangan piawaian peraturan dan piawaian industri mengenai keselamatan DeFi, khususnya rangka kerja audit kontrak pintar dan kawalan kelulusan pengguna.

Sumber & pengesahan

• Pos Matcha Meta di X memperingatkan pengguna untuk mencabut kelulusan SwapNet setelah kebocoran.
• Panduan CertiK mengenal pasti keciciran itu berasal daripada panggilan sewenang-wenang dalam kontrak 0xswapnet yang membenarkan pemindahan dana yang diluluskan.
• Kemas kini PeckShield mencatatkan kira-kira $16.8 juta disedut di Base, termasuk penukaran USDC kepada ETH dan penghubungan ke Ethereum.
• Laporan Tahunan Keselamatan dan AML 2025 SlowMist yang merincikan kategori kejadian, termasuk 30.5% disebabkan oleh kelemahan kontrak pintar dan 24% disebabkan oleh kompromi akaun.
• Cointelegraph pemerhatian ke atas kejadian Truebit, termasuk kerugian $26 juta dan penurunan token TRU, untuk konteks yang lebih luas mengenai risiko pendedahan kontrak pintar.

Badan artikel yang ditulis semula

Dalam contoh terkini bagaimana DeFi boleh disusupi dari dalam, Matcha Meta mengumumkan bahawa satu kebocoran keselamatan berlaku melalui salah satu daripada laluan utama penyediaan likuiditi—kontrak router SwapNet. Akibat yang dialami pengguna ialah pengemaskinian kelulusan token, yang secara eksplisit disarankan oleh protokol dalam pos awamnya. Kebocoran itu tidak kelihatan berasal dari infrastruktur asas Matcha Meta, seperti yang dinyatakan syarikat itu, tetapi daripada kelemahan dalam lapisan router rakan kongsi yang memberi keizinan untuk memindahkan dana atas nama pengguna.

Anggaran awal daripada penyelidik keselamatan menetapkan kesan kewangan dalam julat yang ketat. CertiK mengkira kehilangan sebanyak kira-kira $13.3 juta, manakala PeckShield melaporkan angka minimum yang lebih tinggi iaitu $16.8 juta pada rangkaian Base. Perbezaan ini mencerminkan kaedah perakaunan berantai yang berbeza dan masa tinjauan selepas kejadian, tetapi kedua-dua analisis mengesahkan kehilangan yang bermakna yang berkaitan dengan fungsi router SwapNet. Di Base, penceroboh dilaporkan menukar kira-kira 10.5 juta USDC (CRYPTO: USDC) kepada kira-kira 3,655 ETH (CRYPTO: ETH) dan bermula memindahkan hasilnya ke Ethereum, mengikut bulletin PeckShield yang dimuat naik ke X.

Seterusnya, ~$16.8 juta nilai kripto telah dikeluarkan. Di Base, penyerang telah menukar ~10.5 juta USDC kepada ~3,655 ETH dan telah mula memindahkan dana ke Ethereum.

Penilaian CertiK memberi penerangan teknikal mengenai kecederaan: satu panggilan sewenang-wenang dalam kontrak 0xswapnet membolehkan penyerang menarik dana yang pengguna sudah beri kelulusan, secara berkesan melalui pengelakan kecurian terus daripada talian likuiditi SwapNet dan sebaliknya memanfaatkan keizinan yang diberikan kepada router. Perbezaan ini penting kerana ia menunjukkan kelemahan pentadbiran atau reka bentuk pada peringkat integrasi berbanding dengan kebocoran jaminan atau kawalan keselamatan Matcha Meta sendiri.

Matcha Meta mengakui pendedahan tersebut berkaitan dengan SwapNet dan tidak mempertanggungjawabkan kelemahan itu kepada infrastruktur sendiri. Usaha untuk mendapatkan komen berkaitan mekanisme kompensasi atau jaminan keselamatan tidak diberi jawapan serta-merta, membiarkan pengguna yang terjejas tanpa jalan penyelesaian yang jelas dalam jangka pendek. Kejadian ini menunjukkan profil risiko yang lebih luas untuk agen DEX: apabila perjanjian memperkenalkan antara muka kontrak baru, penyerang mungkin menargetkan aliran berkebenaran yang terletak di persimpangan kelulusan pengguna dan pemindahan automatik dana.

Landskap keselamatan yang lebih luas dalam kripto tetap membangkitkan kebimbangan. Pada tahun 2025, kelemahan kontrak pintar adalah punca utama eksploitasi kripto, menyumbang kepada 30.5% daripada kes-kes dan 56 kejadian keseluruhan, menurut laporan tahunan SlowMist. Kadar ini menunjukkan bagaimana projek yang canggih sekalipun boleh terjejas oleh kesilapan kecil atau konfigurasi yang salah dalam kod yang mengawal pemindahan nilai automatik. Kompromi akaun dan akaun sosial yang terjejas (seperti X pengguna yang menjadi mangsa) juga mewakili sebahagian besar daripada kes-kes, menekankan sifat pelbagai vektor dalam toolkit penjenayah siber.

Di luar sudut teknikal yang murni, kejadian ini memberi sumbangan kepada perbincangan yang berkembang mengenai penggunaan kecerdasan buatan dalam keselamatan kontrak pintar. Laporan DECEMBER mencatatkan agen kecerdasan buatan yang boleh didapati secara komersial menemui kira-kira $4.6 juta nilai serangan berantai secara masa nyata, menggunakan alat seperti Claude Opus 4.5, Claude Sonnet 4.5, dan GPT-5 milik OpenAI. Kekeluaran teknik pemeriksaan dan pengeksploitasian berpandu kecerdasan buatan menambahkan lapisan kekompleksan kepada penilaian risiko untuk pemeriksa dan pengendali. Pemandangan ancaman yang berkembang ini memperkuatkan keperluan untuk pemantauan berterusan, pengurangan keizinan dengan cepat, dan langkah pertahanan yang boleh disesuaikan dalam ekosistem DeFi.

Dua minggu sebelum kejadian SwapNet, satu lagi kelemahan kontrak pintar yang menonjol menyebabkan kerugian sebanyak $26 juta kepada protokol Truebit, diikuti oleh tindak balas harga TRU token yang tajam (CRYPTO: TRU). Episod seperti ini menegaskan fakta bahawa lapisan kontrak pintar tetap menjadi permukaan serangan utama untuk penjenayah siber, walaupun domain lain dalam sfera kripto—penjagaan, infrastruktur terpusat, dan komponen luar talian—juga menghadapi ancaman yang berterusan. Tema yang berulang ialah pengurusan risiko mesti melangkaui audit dan ganjaran laporan kesalahan untuk merangkumi pentadbiran hidup, pemantauan masa nyata, dan amalan pengguna yang bijak mengenai kelulusan dan pergerakan lintas-rantaian.

Sebagaimana pasaran mencerna implikasi, pemerhati menekankan bahawa jalan ke arah ketahanan dalam DeFi bergantung kepada jaminan berlapis dan tindak balas kejadian yang telus. Walaupun kelemahan SwapNet kelihatan terhad kepada integrasi tertentu, kejadian ini memperkuatkan pelajaran utama: walaupun rakan kongsi yang dipercayai boleh memperkenalkan risiko sistematik jika kontrak mereka berinteraksi dengan dana pengguna dalam cara yang melangkaui jaminan piawai. Rekod berantai akan terus berkembang sebagaimana penyiasat, Matcha Meta, dan rakan kongsi likuiditinya menjalankan tinjauan forensik dan menentukan sama ada mangsa akan menerima kompensasi atau peningkatan kawalan risiko yang boleh mencegah kejadian serupa di masa depan.

Artikel ini asalnya diterbitkan sebagai Matcha Meta Diserang dengan Hack Kontrak Pintar SwapNet $16.8M pada Berita Kripto Terkini - sumber yang boleh dipercayai untuk berita kripto, berita Bitcoin, dan kemas kini blockchain.