DEX-агрегатор подвергся атаке на сумму $16,8 млн из-за обхода процесса одобрения SwapNet

• Объявление -

Агрегатор децентрализованной биржи Matcha Meta подтвердил инцидент безопасности, связанный с его интеграцией SwapNet, что привело к оценочным потерям в размере $16.8 миллиона.

О взломе впервые сообщила компания по блокчейн-безопасности PeckShield, а дальнейший технический анализ позже предоставила CertiK.

Что пошло не так

Согласно выводам, опубликованным исследователями безопасности, эксплойт был нацелен конкретно на пользователей, которые отключили функцию Matcha Meta «One-Time Approval». Отключив ее, эти пользователи предоставили постоянные разрешения непосредственно контракту роутера SwapNet, создав поверхность атаки, которой позже воспользовались.

#PeckShieldAlert Matcha Meta сообщила об инциденте безопасности, связанном со SwapNet. Пользователи, которые отказались от “One-Time Approvals”, находятся под риском.

По состоянию на сейчас, ~$16.8M стоимости криптовалюты было выведено.

На #Base злоумышленник обменял ~10.5M $USDC на ~3,655 $ETH и начал мостить средства на… https://t.co/QOyV4IU3P3 pic.twitter.com/6OOJd9cvyF

— PeckShieldAlert (@PeckShieldAlert) 26 января 2026 г.

CertiK определила первопричину как уязвимость «arbitrary call» в контракте SwapNet. Этот недостаток позволил атакующему инициировать несанкционированные переводы из кошельков, которые ранее одобряли роутер, фактически обходя обычные меры защиты.

Движение средств и масштабы

Данные в сети показывают, что атакующий на Base обменял примерно $10.5 миллиона USDC на около 3,655 ETH, прежде чем перевести активы в Ethereum через мост. Похоже, что кроссчейн-движение было задумано для усложнения отслеживания и усилий по восстановлению.

Важно, что инцидент не затронул всех пользователей Matcha. Воздействие было ограничено кошельками, которые вручную отключили разовые одобрения и выдали прямые разрешения контрактам SwapNet.

                Bitcoin обходит золото и серебро в опросе по инвестициям на $100,000

Меры экстренного реагирования

В ответ на эксплойт Matcha Meta предприняла несколько немедленных шагов:

• Контракты SwapNet были приостановлены, чтобы предотвратить дальнейшие потери.
• Пользователям настоятельно рекомендовали отозвать существующие одобрения, особенно для контракта роутера SwapNet
  (0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e).
• Платформа удалила возможность отключать разовые одобрения, стремясь снизить подобные риски в будущем.

Инцидент подчеркивает компромиссы по безопасности, связанные с постоянными одобрениями контрактов, и подтверждает важность регулярных проверок разрешений, особенно при взаимодействии с агрегаторами и контрактами маршрутизации.