Мільйони зникають через порушення безпеки на Matcha Meta

Як було виявлено порушення в SwapNet?

Перший звіт, заснований на аналізі ончейн-даних, був опублікований PeckShield і показав, що було незаконно виведено активи на суму близько $16,8 мільйона. Дані свідчать, що зловмисник обміняв $10,5 мільйона в USDC у мережі Base на близько 3 655 ETH і згодом переправив їх у мережу Ethereum. Швидкість цих транзакцій вказує на автоматизований сценарій експлуатації.

Інша компанія з безпеки, CertiK, раніше надала оцінку втрат на рівні близько $13,3 мільйона. За даними CertiK, вразливість виникла через проблему “довільного виклику” у контракті SwapNet, що дозволяло зловмиснику переводити авторизовані кошти. Різниця у цифрах між двома звітами зумовлена додатковими транзакціями, виявленими під час процесу бриджування, а також методологічними відмінностями.

У своїй першій відповіді Matcha Meta заявила, що акаунти, які використовували функцію One-Time Approval, не постраждали, ризику зазнали лише ті, хто безпосередньо авторизував контракти. Проєкт обмежив масштаб атаки на основі цієї моделі.

Авторизації користувачів та вплив на індустрію

Після інциденту Matcha Meta оголосила про початок розслідування у співпраці з командою 0x, уточнивши, що проблема не пов’язана з контрактами AllowanceHolder чи Settler від 0x. У заяві підкреслювалося, що надання прямої авторизації окремим контрактам агрегаторів створює додаткові ризики для користувачів. Тому опція прямої авторизації була вилучена, щоб запобігти подібним випадкам у майбутньому.

Попри те, що Matcha Meta ще не надала нових оновлень щодо ситуації, індустрія загалом дедалі більше турбується через зростання кількості атак. Дані Chainalysis показують, що крадіжки криптовалюти перевищили $3,41 мільярда у 2025 році. Одна атака на Bybit, що склала $1,5 мільярда, становила майже половину річних втрат.

Експерти стверджують, що випадок Matcha Meta підкреслює необхідність узгодження механізмів дозволів, призначених для покращення користувацького досвіду, із надійною архітектурою безпеки. У міру поширення кросчейн-бриджів і контрактів-агрегаторів поверхня атаки розширюється, що посилює обговорення щодо того, як ризики передаються кінцевим користувачам.