.jpeg)
Matcha Meta, торговая платформа, разработанная 0x, выпустила критическое оповещение о безопасности относительно уязвимости в ее интегрированном агрегаторе SwapNet. Эксплойт привел к утечке более 16,8 миллионов долларов в криптовалюте, в основном затронув пользователей, которые отключили функцию одноразового одобрения Matcha и предоставили прямые одобрения токенов отдельным контрактам агрегаторов.
Ключевые выводы
-
Более 16,8 миллионов долларов в криптовалюте было выведено из-за ошибки SwapNet.
-
Уязвимость возникла из-за произвольного вызова в контракте SwapNet, что затронуло пользователей, отключивших одноразовые одобрения.
-
Matcha и SwapNet отключили затронутые контракты, и пользователям настоятельно рекомендуется немедленно отозвать ручные одобрения токенов.
Подробности эксплойта SwapNet
Инцидент безопасности был освещен Matcha Meta, которая заметила потенциальные риски для пользователей, отказавшихся от системы одноразового одобрения платформы. Вместо использования этого более безопасного метода эти пользователи предоставили прямые одобрения конкретным контрактам агрегаторов, включая SwapNet.
Этот механизм прямого одобрения позволил злоумышленнику использовать уязвимость «произвольного вызова» в контракте SwapNet. Этот эксплойт позволил злоумышленнику переводить средства, которые пользователи уже одобрили, без необходимости получения дальнейшего разрешения. Данные в блокчейне указывают на значительную активность, включая обмен почти 10,5 миллионов долларов в USDC на 3655 ETH в сети Base, после чего злоумышленник перевел эти средства в Ethereum.
Подтверждения от фирм по безопасности и более широкое влияние
Фирмы по безопасности блокчейна, такие как PeckShield и BlockSec, подтвердили утечку средств. PeckShield сообщил, что было выведено примерно 16,8 миллионов долларов, с акцентом на активность в сети Base. Платформа BlockSec Phalcon определила, что были атакованы несколько контрактов жертв в сетях Ethereum, Arbitrum, Base и BNB Chain, при этом общие убытки потенциально превысили 17 миллионов долларов. Они отметили, что затронутые контракты не были с открытым исходным кодом и имели функцию «произвольного вызова», что способствовало утечке активов посредством вызовов transferFrom.
Были идентифицированы два основных пострадавших развертывателя: 0xbeef63AE5a2102506e8a352a5bB32aA8B30B3112, с убытками около 3,67 миллиона долларов, и 0x9cb8d9BaE84830b7f5F11ee5048c04a80b8514BA, с убытками около 13,41 миллиона долларов.
Реакция Matcha и рекомендации для пользователей
В ответ на инцидент Matcha Meta сотрудничала с командой SwapNet, что привело к временному отключению контрактов SwapNet. Matcha также уточнила, что ее основная инфраструктура протокола 0x, включая контракты AllowanceHolder и Settler, не пострадала. Пользователи, которые последовательно использовали систему одноразового одобрения Matcha, остались в безопасности.
Чтобы снизить дальнейшие риски, Matcha Meta удалила возможность для пользователей устанавливать прямые разрешения на контракты агрегаторов, предотвращая подобные эксплойты в будущем. Платформа настоятельно рекомендует всем пользователям предпринять следующие действия:
-
Немедленно отозвать все одобрения, связанные с SwapNet и другими сторонними агрегаторами.
-
Отдавать предпочтение использованию системы одноразового одобрения Matcha для будущих сделок.
-
Оставаться в курсе текущих расследований и обновлений.
Инцидент подчеркивает важность тщательного управления одобрениями токенов в пространстве DeFi, особенно при взаимодействии со сторонними сервисами.
Источники
-
Matcha Meta Flags SwapNet Bug as Over $16.8M is Drained, The Crypto Times.
Эта статья была создана с поддержкой технологий, основанных на искусственном интеллекте, с использованием множества авторитетных источников. Финальный контент был тщательно проверен и отредактирован редакционной командой BlockzHub для обеспечения точности, ясности и согласованности. Оригинальные источники информации указаны, когда это необходимо и уместно. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.