SwapNet Hack

Matcha Meta — это торговое приложение, которое сравнивает цены нескольких DEX-агрегаторов, одним из которых был SwapNet. По умолчанию Matcha проводит доступы через контракт от 0x, который позволяет агрегатору использовать их только для одной сделки. Пользователи могли отключить эту настройку и вместо этого выдать контрактам SwapNet прямой, часто неограниченный доступ. 25 января 2026 года злоумышленник воспользовался уязвимостью в контрактах SwapNet, которая позволяла кому угодно заставить их перемещать токены, к которым им был выдан доступ.

Первая кража произошла в сети Base, после чего злоумышленник опустошал кошельки и в других сетях, забрав в общей сложности около 13,4 млн долларов. SwapNet приостановил свои контракты в сети Base примерно через 45 минут после первой атаки, а вскоре после этого — и в остальных сетях. Злоумышленник обменял украденные токены и перевел вырученные средства через мост в сеть Ethereum. Matcha удалила SwapNet, убрала возможность отключать одноразовые доступы и заявила, что вместе с компаниями по безопасности отслеживает средства. В некоторых ранних сообщениях потери оценивались в 16,8 млн долларов, но эта цифра включала не связанный с этим инцидент в Aperture Finance.

Matcha заявила, что ее собственные контракты и контракты 0x не пострадали, а пользователи, которые оставили включенным одноразовый доступ по умолчанию, никогда не были под угрозой. SwapNet не исправил свои контракты, а лишь приостановил их, и может снова включить их в любой момент. Всем, кто выдавал доступ контрактам SwapNet напрямую в любой сети, все равно следует отозвать эти доступы. Это касается и доступов на точную сумму, которые так и не были использованы, поскольку ими тоже можно злоупотребить.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.