.jpeg)
Matcha Meta, una piattaforma di trading sviluppata da 0x, ha emesso un avviso di sicurezza critico riguardo a una vulnerabilità nel suo aggregatore integrato, SwapNet. L'exploit ha portato al drenaggio di oltre 16,8 milioni di dollari in criptovalute, colpendo principalmente gli utenti che avevano disabilitato la funzione di Approvazione Monouso di Matcha e concesso approvazioni dirette di token a singoli contratti aggregatori.
Punti chiave
-
Oltre 16,8 milioni di dollari in cripto sono stati drenati a causa di un bug di SwapNet.
-
La vulnerabilità derivava da una chiamata arbitraria nel contratto SwapNet, che ha interessato gli utenti che hanno disabilitato le Approvazioni Monouso.
-
Matcha e SwapNet hanno disabilitato i contratti interessati e si esorta gli utenti a revocare immediatamente le approvazioni manuali dei token.
Dettagli dell'exploit di SwapNet
L'incidente di sicurezza è stato portato alla luce da Matcha Meta, che ha notato potenziali rischi per gli utenti che avevano rinunciato al sistema di Approvazione Monouso della piattaforma. Invece di utilizzare questo metodo più sicuro, questi utenti avevano concesso approvazioni dirette a specifici contratti aggregatori, incluso SwapNet.
Questo meccanismo di approvazione diretta ha permesso a un attaccante di sfruttare una vulnerabilità di "chiamata arbitraria" all'interno del contratto SwapNet. Questo exploit ha consentito all'attaccante di trasferire fondi che gli utenti avevano già approvato senza richiedere alcuna ulteriore autorizzazione. I dati on-chain indicano un'attività significativa, tra cui quasi 10,5 milioni di dollari in USDC scambiati per 3.655 ETH sulla rete Base, con l'attaccante che ha successivamente trasferito questi fondi su Ethereum.
Conferme di società di sicurezza e impatto più ampio
Società di sicurezza blockchain come PeckShield e BlockSec hanno confermato il drenaggio dei fondi. PeckShield ha riferito che circa 16,8 milioni di dollari sono stati drenati, con un focus sull'attività della rete Base. La piattaforma Phalcon di BlockSec ha identificato che più contratti vittima su Ethereum, Arbitrum, Base e BNB Chain sono stati presi di mira, con perdite totali potenzialmente superiori a 17 milioni di dollari. Hanno notato che i contratti interessati non erano open-source ed esponevano una funzione "arbitrary-call", facilitando il drenaggio di asset tramite chiamate transferFrom.
Sono stati identificati due principali deployer interessati: 0xbeef63AE5a2102506e8a352a5bB32aA8B30B3112, con circa 3,67 milioni di dollari persi, e 0x9cb8d9BaE84830b7f5F11ee5048c04a80b8514BA, con circa 13,41 milioni di dollari persi.
Risposta di Matcha e guida per gli utenti
In risposta all'incidente, Matcha Meta ha collaborato con il team di SwapNet, portando alla disabilitazione temporanea dei contratti di SwapNet. Matcha ha anche chiarito che la sua infrastruttura di protocollo 0x principale, inclusi i contratti AllowanceHolder e Settler, non è stata interessata. Gli utenti che hanno utilizzato costantemente il sistema di Approvazione Monouso di Matcha rimangono al sicuro.
Per mitigare ulteriori rischi, Matcha Meta ha rimosso l'opzione per gli utenti di impostare approvazioni dirette sui contratti aggregatori, prevenendo exploit simili in futuro. La piattaforma consiglia vivamente a tutti gli utenti di intraprendere le seguenti azioni:
-
Revocare immediatamente tutte le approvazioni collegate a SwapNet e ad altri aggregatori di terze parti.
-
Dare priorità all'utilizzo del sistema di Approvazione Monouso di Matcha per le future transazioni.
-
Rimanere informati sulle indagini e sugli aggiornamenti in corso.
L'incidente sottolinea l'importanza di gestire attentamente le approvazioni dei token nello spazio DeFi, specialmente quando si interagisce con servizi di terze parti.
Fonti
-
Matcha Meta Flags SwapNet Bug as Over $16.8M is Drained, The Crypto Times.
Questo articolo è stato creato con il supporto di una tecnologia basata sull'intelligenza artificiale, attingendo a molteplici fonti affidabili. Il contenuto finale è stato accuratamente revisionato e modificato dal team editoriale di BlockzHub per garantire accuratezza, chiarezza e coerenza. Le fonti originali delle informazioni vengono citate ove appropriato e necessario. Le opinioni espresse in questo articolo non rappresentano necessariamente le posizioni o i punti di vista ufficiali di BlockzHub. Questo articolo ha esclusivamente scopo informativo e non deve essere considerato come consulenza finanziaria o professionale. Investire comporta dei rischi ed è consigliabile consultare un consulente finanziario qualificato prima di prendere qualsiasi decisione di investimento.