.jpeg)
Matcha Meta, una plataforma de trading desarrollada por 0x, ha emitido una alerta de seguridad crítica sobre una vulnerabilidad en su agregador integrado, SwapNet. El exploit ha provocado el drenaje de más de 16,8 millones de dólares en criptomonedas, afectando principalmente a los usuarios que habían deshabilitado la función de Aprobación de un solo uso de Matcha y habían otorgado aprobaciones directas de tokens a contratos de agregadores individuales.
Puntos Clave
-
Más de 16,8 millones de dólares en cripto fueron drenados debido a un error en SwapNet.
-
La vulnerabilidad provino de una llamada arbitraria en el contrato de SwapNet, afectando a los usuarios que deshabilitaron las Aprobaciones de un solo uso.
-
Matcha y SwapNet han deshabilitado los contratos afectados, y se insta a los usuarios a revocar las aprobaciones manuales de tokens de inmediato.
Detalles del Exploit de SwapNet
El incidente de seguridad salió a la luz por Matcha Meta, que notó riesgos potenciales para los usuarios que habían optado por no utilizar el sistema de Aprobación de un solo uso de la plataforma. En lugar de utilizar este método más seguro, estos usuarios habían otorgado aprobaciones directas a contratos de agregadores específicos, incluido SwapNet.
Este mecanismo de aprobación directa permitió a un atacante explotar una vulnerabilidad de "llamada arbitraria" dentro del contrato de SwapNet. Este exploit permitió al atacante transferir fondos que los usuarios ya habían aprobado sin requerir ninguna autorización adicional. Los datos en cadena indican una actividad significativa, incluyendo casi 10,5 millones de dólares en USDC intercambiados por 3.655 ETH en la red Base, y el atacante posteriormente transfirió estos fondos a Ethereum.
Confirmaciones de Empresas de Seguridad y Mayor Impacto
Empresas de seguridad blockchain como PeckShield y BlockSec han confirmado el drenaje de fondos. PeckShield informó que se drenaron aproximadamente 16,8 millones de dólares, con un enfoque en la actividad de la red Base. La plataforma Phalcon de BlockSec identificó que múltiples contratos de víctimas en Ethereum, Arbitrum, Base y BNB Chain fueron atacados, con pérdidas totales que podrían superar los 17 millones de dólares. Señalaron que los contratos afectados no eran de código abierto y exponían una función de "llamada arbitraria", facilitando el drenaje de activos a través de llamadas transferFrom.
Se identificaron dos principales desplegadores afectados: 0xbeef63AE5a2102506e8a352a5bB32aA8B30B3112, con aproximadamente 3,67 millones de dólares perdidos, y 0x9cb8d9BaE84830b7f5F11ee5048c04a80b8514BA, con aproximadamente 13,41 millones de dólares perdidos.
Respuesta de Matcha y Guía para Usuarios
En respuesta al incidente, Matcha Meta ha colaborado con el equipo de SwapNet, lo que ha llevado a la deshabilitación temporal de los contratos de SwapNet. Matcha también ha aclarado que su infraestructura principal del protocolo 0x, incluidos los contratos AllowanceHolder y Settler, no se vio afectada. Los usuarios que utilizaron consistentemente el sistema de Aprobación de un solo uso de Matcha permanecen seguros.
Para mitigar riesgos adicionales, Matcha Meta ha eliminado la opción para que los usuarios establezcan aprobaciones directas en contratos de agregadores, evitando exploits similares en el futuro. La plataforma recomienda encarecidamente a todos los usuarios que tomen las siguientes medidas:
-
Revocar inmediatamente cualquier aprobación vinculada a SwapNet y otros agregadores de terceros.
-
Priorizar el uso del sistema de Aprobación de un solo uso de Matcha para futuras operaciones.
-
Mantenerse informado sobre las investigaciones y actualizaciones en curso.
El incidente subraya la importancia de gestionar cuidadosamente las aprobaciones de tokens en el espacio DeFi, especialmente al interactuar con servicios de terceros.
Fuentes
-
Matcha Meta Flags SwapNet Bug as Over $16.8M is Drained, The Crypto Times.
Este artículo fue creado con el apoyo de tecnología impulsada por IA, basándose en múltiples fuentes reputadas. El contenido final ha sido revisado y editado minuciosamente por el equipo editorial de BlockzHub para garantizar precisión, claridad y coherencia. Las fuentes originales de los informes se citan siempre que sea apropiado y necesario. Las opiniones expresadas en este artículo no representan necesariamente los puntos de vista o posiciones oficiales de BlockzHub. Este artículo tiene únicamente fines informativos y no debe considerarse asesoramiento financiero o profesional. Invertir implica riesgos, y se recomienda consultar a un asesor financiero calificado antes de tomar decisiones de inversión.