Matcha Meta atingida por hackeio de contrato inteligente SwapNet de $16,8 milhões

Introdução
No domingo, a Matcha Meta revelou que um rompimento de segurança relacionado a um de seus principais provedores de liquidez, o SwapNet, comprometeu usuários que haviam concedido aprovações ao contrato de roteamento do SwapNet. O incidente destaca como componentes com permissões dentro de ecossistemas de exchanges descentralizadas podem se tornar vetores de ataque, mesmo quando a infraestrutura central permanece intacta. Avaliações iniciais do público colocam as perdas na faixa de aproximadamente 13 milhões a 17 milhões de dólares, com a atividade na cadeia centralizando-se na rede Base e movimentos entre cadeias direcionados a EthereumA divulgação provocou solicitações aos usuários para revogarem aprovações e uma maior análise de como os contratos inteligentes expostos a roteadores externos são protegidos.

Principais pontos a reter

• A quebra originou-se através do contrato de roteador da SwapNet, provocando uma chamada urgente para que os usuários revoguem aprovações para prevenir perdas adicionais.
• Estimativas dos fundos roubados variam: a CertiK relatou cerca de 13,3 milhões de dólares, enquanto a PeckShield contabiliza pelo menos 16,8 milhões de dólares na rede Base.
• Na Base, o atacante trocou aproximadamente 10,5 milhões de USDC por cerca de 3.655 ETH e começou a transferir fundos para Ethereum.
• O CertiK atribuiu a vulnerabilidade a uma chamada arbitrária no contrato 0xswapnet, o que permitiu ao atacante transferir fundos já aprovados para ele.
• A Matcha Meta indicou que a exposição estava relacionada ao SwapNet, e não à própria infraestrutura da empresa, e os oficiais ainda não divulgaram detalhes sobre compensações ou medidas de proteção.
• Fraquezas em contratos inteligentes continuam sendo o principal fator de explorações de criptomoedas, representando 30,5% dos incidentes em 2025, segundo o relatório anual de segurança da SlowMist.

Códigos Citados

Códigos mencionados: Criptomoeda → USDC, ETH, TRU

Sentimento

Sentimento: Neutro

Impacto no Preço

Impacto no preço: Negativo. A violação destaca riscos de segurança contínuos no DeFi e pode influenciar a percepção de risco em torno da provisão responsável de liquidez e da gestão de aprovações.

Ideia de negociação (Não é aconselhamento financeiro)

Ideia de negociação (Não é aconselhamento financeiro): Mantenha. O incidente é específico a uma rota de aprovação de roteador e não implica diretamente risco sistêmico mais amplo para todos os protocolos DeFi, mas exige cautela em relação à gestão de aprovações e liquidez entre correntes.

Contexto de mercado

Contexto de mercado: O evento ocorre no meio de uma atenção renovada à segurança da DeFi e à atividade entre cadeias, onde provedores de liquidez e agregadores dependem cada vez mais de componentes modulares. Ele também se dá em um cenário de discussões em evolução sobre governança na cadeia, auditorias e a necessidade de salvaguardas robustas, à medida que protocolos de alto valor e novos participantes competem pela confiança dos usuários.

Por que isso importa

Incidentes de segurança em agregadores de DeFi ilustram as superfícies de risco persistentes presentes quando múltiplas camadas de protocolo interagem. Neste caso, o rompimento foi atribuído a uma vulnerabilidade no contrato do roteador da SwapNet, e não à arquitetura central da Matcha Meta, destacando como a confiança é distribuída entre componentes parceiros em um ecossistema componível. Para os usuários, o episódio serve como lembrete para revisar e revogar aprovações de tokens regularmente, especialmente após suspeitas de atividade anormal na blockchain.

O impacto financeiro, embora ainda em evolução, reforça a importância de uma triagem rigorosa dos provedores externos de liquidez e a necessidade de monitoramento em tempo real dos fluxos de aprovação. O fato de os atacantes terem conseguido converter uma parcela substancial dos fundos roubados em stablecoins e, em seguida, transferir ativos para o Ethereum destaca as dinâmicas entre correntes que complicam a rastreabilidade e os esforços de restituição após o incidente. As exchanges e pesquisadores de segurança enfatizam o valor de escopos de permissão granulares e com limites de tempo, bem como a capacidade de revogação precoce, para limitar o raio de impacto dessas explorações.

Do ponto de vista do mercado, o episódio contribui para uma narrativa mais ampla sobre a fragilidade da finança sem permissões e a corrida contínua para implementar salvaguardas robustas e audíveis em diferentes camadas dos ecossistemas DeFi. Embora não seja uma condenação sistêmica do Matcha Meta, o incidente intensifica os apelos por auditorias de segurança padronizadas de contratos de roteamento e uma maior responsabilização por módulos de terceiros que interagem com fundos dos usuários.

O que assistir em seguida

• Atualizações oficiais da Matcha Meta sobre a causa raiz e quaisquer planos de correção ou compensação para os usuários afetados.
• Quaisquer auditorias externas ou revisões por terceiros do contrato de roteador e alterações de governança da SwapNet para prevenir a recorrência.
• Monitoramento na cadeia da atividade da ponte Base-Ethereum relacionada a este incidente e aos movimentos subsequentes de fundos.
• Desenvolvimentos regulatórios e de padrões industriais em torno da segurança da DeFi, particularmente quadros de auditoria de contratos inteligentes e controles de aprovação do usuário.

Fontes & verificação

• Post do Matcha Meta no X avisando os usuários a revogarem as aprovações do SwapNet após o vazamento.
• Aconselhamento do CertiK identificando o exploit como proveniente de uma chamada arbitrária no contrato 0xswapnet que permitiu a transferência de fundos aprovados.
• A atualização do PeckShield observa aproximadamente 16,8 milhões de dólares drenados na Base, incluindo a troca de USDC por ETH e a ponte para Ethereum.
• Relatório Anual de Segurança e Conformidade AML da SlowMist de 2025 detalhando a participação dos incidentes por categoria, incluindo 30,5% atribuídos a vulnerabilidades de contratos inteligentes e 24% a compromissos de contas.
• Cointelegraph cobertura do incidente Truebit, incluindo uma perda de 26 milhões de dólares e a queda do token TRU, para um contexto mais amplo sobre o risco de exposição de contratos inteligentes.

Corpo do artigo reescrito

No mais recente exemplo de como a DeFi pode ser comprometida a partir do interior, a Matcha Meta revelou que um rompimento de segurança ocorreu por meio de uma de suas principais vias de fornecimento de liquidez — o contrato de roteador da SwapNet. A consequência visível aos usuários é a revogação das aprovações de token, que o protocolo solicitou explicitamente em seu post público. A empresa indicou que o rompimento não parece ter surgido da infraestrutura central da Matcha Meta, mas sim de uma vulnerabilidade na camada de roteador de um parceiro, que concedeu permissões para mover fundos em nome dos usuários.

Estimativas iniciais de pesquisadores de segurança colocam o impacto financeiro em uma faixa estreita. A CertiK quantificou as perdas em cerca de 13,3 milhões de dólares, enquanto a PeckShield relatou uma figura mínima mais alta de 16,8 milhões de dólares na rede Base. A discrepância reflete diferentes métodos de contabilidade na blockchain e o momento das revisões pós-incidente, mas ambas as análises confirmam uma perda significativa ligada à funcionalidade do roteador da SwapNet. Na Base, o atacante trocou aproximadamente 10,5 milhões de USDC (CRYPTO: USDC) por cerca de 3.655 ETH (CRYPTO: ETH) e começou a transferir os lucros para a Ethereum, segundo o boletim da PeckShield publicado no X.

Até agora, ~$16,8M em criptomoeda foram drenados. Na Base, o atacante trocou ~10,5M de USDC por ~3.655 ETH e começou a transferir fundos para o Ethereum.

A avaliação da CertiK fornece uma explicação técnica para o ataque: uma chamada arbitrária no contrato 0xswapnet permitiu que o atacante retirassem fundos que os usuários já haviam aprovado, efetivamente contornando um roubo direto do pool de liquidez da SwapNet e, em vez disso, aproveitando as permissões concedidas ao roteador. Essa distinção importa porque aponta para um problema de governança ou de design na camada de integração, e não para uma violação do próprio controle de custódia ou segurança da Matcha Meta.

A Matcha Meta reconheceu que a exposição está ligada ao SwapNet e não atribuiu a vulnerabilidade à própria infraestrutura. Tentativas de obter comentários sobre mecanismos de compensação ou salvaguardas não obtiveram resposta imediata, deixando os usuários afetados sem um caminho claro de correção no curto prazo. O incidente ilustra um perfil de risco mais amplo para agregadores de DEX: quando parcerias introduzem novas interfaces de contrato, os atacantes podem alvejar fluxos com permissão que ficam na interseção de aprovações de usuários e transferências automáticas de fundos.

O cenário mais amplo de segurança na criptomoeda permanece teimosamente precário. Em 2025, vulnerabilidades em contratos inteligentes foram a principal causa de explorações na criptomoeda, representando 30,5% dos incidentes e 56 eventos totais, segundo o relatório anual da SlowMist. Essa parcela destaca como até projetos sofisticados podem ser prejudicados por bugs em casos extremos ou configurações incorretas no código que governa a transferência automática de valor. Compromissos de contas e contas sociais comprometidas (como os handles X das vítimas) também representaram uma parcela considerável dos incidentes, sublinhando a natureza multivetorial do kit de ferramentas dos atacantes.

Além dos aspectos puramente técnicos, o incidente alimenta um crescente debate sobre o uso da inteligência artificial na segurança de contratos inteligentes. Relatórios da DECEMBER observaram que agentes de IA comercialmente disponíveis descobriram cerca de 4,6 milhões de dólares em explorações on-chain em tempo real, utilizando ferramentas como Claude Opus 4.5, Claude Sonnet 4.5 e a GPT-5 da OpenAI. A emergência de técnicas de exploração e análise habilitadas por IA adiciona uma camada de complexidade à avaliação de riscos tanto para auditores quanto para operadores. Este cenário de ameaças em evolução reforça a necessidade de monitoramento contínuo, revogação rápida de permissões e medidas defensivas adaptáveis nos ecossistemas DeFi.

Duas semanas antes do incidente SwapNet, outra vulnerabilidade de contrato inteligente de alta visibilidade resultou em perdas de 26 milhões de dólares para o protocolo Truebit, seguido por uma reação acentuada no preço do token TRU (CRYPTO: TRU). Episódios como esses destacam o fato de que a camada de contratos inteligentes continua sendo uma superfície primária de ataque para hackers, mesmo enquanto outros domínios dentro da esfera cripto—custódia, infraestrutura centralizada e componentes fora da cadeia—também enfrentam ameaças persistentes. O tema recorrente é que a gestão de riscos deve ir além de auditorias e recompensas por bugs, incluindo governança ativa, monitoramento em tempo real e práticas prudentes dos usuários em relação a aprovações e movimentações entre cadeias.

Conforme o mercado digere as implicações, observadores enfatizam que o caminho para a resiliência na DeFi depende de proteções em camadas e de uma resposta transparente a incidentes. Embora a vulnerabilidade do SwapNet pareça estar isolada a uma integração específica, o incidente reforça uma lição central: até mesmo parceiros confiáveis podem introduzir riscos sistêmicos se seus contratos interagirem com fundos dos usuários de maneira que contorne proteções padrão. O registro na blockchain continuará a se desenrolar à medida que investigadores, a Matcha Meta e seus parceiros de liquidez conduzirem revisões forenses e determinem se as vítimas receberão compensação ou melhorias nos controles de risco que possam prevenir incidentes semelhantes no futuro.

Este artigo foi originalmente publicado como Matcha Meta atingida por hackeio de contrato inteligente SwapNet de $16,8 milhões em Notícias Urgentes de Criptomoedas – sua fonte confiável para notícias de criptomoedas, notícias de Bitcoin e atualizações de blockchain.