Trình tổng hợp DEX bị tấn công bởi lỗ hổng SwapNet trị giá 16,8 triệu đô la sau khi bỏ qua xác nhận

• Quảng cáo -

Aggregator trao đổi phi tập trung Matcha Meta đã xác nhận một vụ sự cố an ninh liên quan đến tích hợp SwapNet, dẫn đến tổn thất ước tính là 16,8 triệu USD.

Sự cố này lần đầu tiên được công ty an ninh blockchain PeckShield phát hiện, với phân tích kỹ thuật thêm được cung cấp bởi CertiK.

Điều Gì Đã Sai

Theo những phát hiện được chia sẻ bởi các nhà nghiên cứu an ninh, lỗ hổng này đặc biệt ảnh hưởng đến những người dùng đã tắt tính năng “Phê duyệt một lần” của Matcha Meta. Bằng cách chọn không tham gia, những người dùng đó đã cấp quyền liên tục trực tiếp cho hợp đồng bộ định tuyến SwapNet, tạo ra bề mặt tấn công mà sau này đã bị lạm dụng.

#PeckShieldAlert Matcha Meta đã báo cáo một vụ vi phạm an ninh liên quan đến SwapNet. Những người dùng đã chọn không tham gia “Phê duyệt một lần” đang gặp rủi ro.

Cho đến nay, ~$16,8 triệu giá trị crypto đã bị rút cạn.

Trên #Base, kẻ tấn công đã hoán đổi ~10,5 triệu $USDC lấy ~3.655 $ETH và đã bắt đầu chuyển quỹ đến… https://t.co/QOyV4IU3P3 pic.twitter.com/6OOJd9cvyF

— PeckShieldAlert (@PeckShieldAlert) ngày 26 tháng 1 năm 2026

CertiK đã xác định nguyên nhân gốc rễ là một lỗ hổng “gọi tùy ý” trong hợp đồng SwapNet. Lỗi này cho phép kẻ tấn công khởi xướng các chuyển khoản không được phép từ các ví đã phê duyệt trước đó cho bộ định tuyến, hiệu quả là bỏ qua các biện pháp bảo vệ bình thường.

Di Chuyển Quỹ và Phạm Vi

Hoạt động trên chuỗi cho thấy kẻ tấn công đã hoán đổi khoảng 10,5 triệu USD trong USDC trên Base lấy khoảng 3.655 ETH, trước khi chuyển đổi tài sản sang Ethereum. Sự di chuyển giữa các chuỗi có vẻ như được thiết kế để làm phức tạp thêm việc theo dõi và nỗ lực phục hồi.

Quan trọng là, sự cố này không ảnh hưởng đến tất cả người dùng Matcha. Sự tiếp xúc chỉ giới hạn ở những ví đã tắt phê duyệt một lần một cách thủ công và cấp quyền trực tiếp cho các hợp đồng SwapNet.

                Bitcoin Vượt Qua Vàng và Bạc Trong Cuộc Khảo Sát Đầu Tư 100.000 USD

Các Biện Pháp Ứng Phó Khẩn Cấp

Để ứng phó với lỗ hổng, Matcha Meta đã thực hiện một số bước ngay lập tức:

• Các hợp đồng SwapNet đã được tạm ngưng để ngăn chặn những tổn thất tiếp theo.
• Người dùng đã được khuyến cáo thu hồi các phê duyệt hiện có, đặc biệt là cho hợp đồng bộ định tuyến SwapNet
  (0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e).
• Nền tảng đã loại bỏ tùy chọn tắt phê duyệt một lần, nhằm giảm thiểu các rủi ro tương tự trong tương lai.

Sự cố này làm nổi bật các sự đánh đổi về an ninh liên quan đến các phê duyệt hợp đồng liên tục và củng cố tầm quan trọng của việc xem xét quyền truy cập thường xuyên, đặc biệt là khi tương tác với các aggregator và hợp đồng định tuyến.