SwapNet Hack

Matcha Meta 是一款交易应用，会比较多个 DEX 聚合器的价格，SwapNet 就是其中之一。默认情况下，Matcha 会通过 0x 的一个合约来处理授权，该合约只允许聚合器在单笔交易中使用这些授权。用户可以关闭这项设置，转而直接给予 SwapNet 的合约授权，而这类授权往往是无限授权。2026年1月25日，一名攻击者利用了 SwapNet 合约中的一个缺陷，任何人都可以借此让这些合约转走授权给它们的代币。

首次盗窃发生在 Base 上，攻击者随后又掏空了其他链上的钱包，总计拿走约1340万美元。SwapNet 在首次攻击约45分钟后暂停了其在 Base 上的合约，并在不久后暂停了其他链上的合约。攻击者兑换了被盗代币，并将所得资金跨链转移到 Ethereum。Matcha 移除了 SwapNet，取消了关闭一次性授权的选项，并表示正在与安全公司合作追踪资金。一些早期报道称损失达1680万美元，但这一数字包含了 Aperture Finance 发生的一起无关事件。

Matcha 表示，其自身的合约以及 0x 的合约均未受影响，保留默认一次性授权的用户从未面临风险。SwapNet 只是暂停了合约，而没有修复它们，并且可以随时重新启用。任何在任何链上直接授权过 SwapNet 合约的用户，仍应撤销这些授权。这也包括从未使用过的精确金额授权，因为它们同样可能被滥用。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。