Den decentraliserade börsaggregatorn SwapNet har blivit utsatt för en stor smartkontraktattack som stal nästan 16,8 miljoner USD i kryptotillgångar.
Händelsen visar att säkerhetsrisker med token-godkännanden och tredjepartsrouter-kontrakt fortfarande finns i decentraliserad finans (DeFi).
On-Chain DEX-aggregatorn SwapNet utsätts för en exploatering på 16,8 miljoner USD
PeckShield rapporterade att angriparen riktade in sig på SwapNet-anslutna aktiviteter som gick att nå via Matcha Meta, en meta DEX-aggregator utvecklad av 0x-teamet.
På Base-nätverket bytte angriparen cirka 10,5 miljoner USD i USDC mot ungefär 3 655 ETH innan personen förde tillgångarna vidare till Ethereum. Det är en vanlig metod som försvårar spårning och återvinning av tillgångar.
Matcha Meta förklarade att bristen inte kom från den egna infrastrukturen. Istället drabbades användare som valt bort 0x One-Time Approval-system, en säkerhetsfunktion som minskar löpande token-tillstånd.
Användare som stängde av det här alternativet gav direkta godkännanden till underliggande aggregator-kontrakt, bland annat SwapNets router, vilket gjorde dessa till attackmål.
”Vi känner till händelsen med SwapNet som användare utsatts för på Matcha Meta för de som stängde av One-Time Approvals,” skrev Matcha Meta i ett uttalande.
Plattformen bekräftade att de samarbetar med SwapNet-teamet, som tillfälligt stängt av de drabbade kontrakten under utredningen.
Som försiktighetsåtgärd bad Matcha Meta sina användare att direkt ta bort godkännanden till individuella aggregatorer utanför 0x One-Time Approval-system.
Plattformen pekade ut SwapNets routerkontrakt (0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e) som det mest akuta godkännandet att återkalla. Om man inte gör detta kan plånböcker fortfarande vara utsatta även efter att attacken stoppats.
DeFi: Säkerhet eller enkelhet när riskerna med smarta kontrakt ökar
Denna händelse visar på en gammal balansgång i DeFi mellan bekvämlighet och säkerhet. One-Time Approvals innebär att användarna måste godkänna varje transaktion separat, vilket minskar risken för fortlöpande attacker. Det blir dock mer omständligt för de som handlar ofta.
Obegränsade godkännanden går snabbare, men ger smartkontrakt varaktig tillgång till användarnas tillgångar. Det blir farligt om de kontrakten angrips.
SwapNet har ännu inte publicerat någon teknisk analys eller sagt om drabbade användare kommer att få ersättning. Det här lämnar frågor om ansvar och kompensation öppna.
Bristen på tydliga besked kommer troligen att öka granskningen av godkännandeprocesser och aggregator-integreringar i hela DeFi-ekosystemet.
Ytterligare en Ethereum-exploit visar riskerna med ej verifierade och stängda kontrakt
Attacken sker samtidigt som fler smartkontraktattacker och säkerhetsincidenter på kryptomarknaden rapporteras.
Samma dag rapporterade säkerhetsgranskaren Pashov om en separat attack på Ethereum mainnet där cirka 37 WBTC, värt över 3,1 miljoner USD, stals.
Detta kopplas till ett slutet, otestat kontrakt som lades ut för bara 41 dagar sedan. Kontraktet publicerade endast maskinkod som människor inte kan läsa, vilket hindrar öppen granskning.
Tillsammans visar dessa incidenter att angriparna har många möjligheter i DeFi. De viktigaste riskfaktorerna är:
- Otestad kod
- Ständiga godkännanden
- Komplexa routerlager
Trots år av granskningar och säkerhetsförbättringar finns det fortfarande grundläggande sårbarheter i DeFi. Därmed måste både utvecklare och användare väga användbarhet mot risktagande.
