Introducción
El domingo, Matcha Meta reveló que una violación de seguridad vinculada a uno de sus principales proveedores de liquidez, SwapNet, comprometió a los usuarios que habían otorgado aprobaciones al contrato del enrutador de SwapNet. El incidente subraya cómo los componentes con permisos dentro de los ecosistemas de intercambio descentralizados pueden convertirse en vectores de ataque incluso cuando la infraestructura central se mantiene intacta. Las primeras evaluaciones públicas sitúan las pérdidas en un rango de aproximadamente $13 millones a $17 millones, con la actividad en la cadena centrada en la red Base y movimientos entre cadenas hacia Ethereum. La divulgación llevó a que los usuarios revocaran aprobaciones y aumentó el escrutinio sobre cómo se protegen los contratos inteligentes expuestos a enrutadores externos.
Principales conclusiones
La violación se originó a través del contrato de enrutador de SwapNet, lo que provocó una llamada urgente a los usuarios para que revocaran las aprobaciones y evitaran más pérdidas.
Las estimaciones de los fondos robados varían: CertiK informó sobre aproximadamente $13.3 millones, mientras que PeckShield contabiliza al menos $16.8 millones en la red Base.
En Base, el atacante intercambió aproximadamente 10.5 millones de USDC por unos 3,655 ETH y comenzó a transferir fondos a Ethereum.
CertiK atribuyó la vulnerabilidad a una llamada arbitraria en el contrato 0xswapnet, que permitió al atacante transferir fondos que ya habían sido aprobados.
Matcha Meta indicó que la exposición estaba vinculada a SwapNet en lugar de su propia infraestructura, y los funcionarios aún no han proporcionado detalles sobre la compensación o salvaguardas.
Las debilidades de contratos inteligentes siguen siendo el principal motor de los exploits en criptomonedas, representando el 30.5% de los incidentes en 2025, según el informe anual de seguridad de SlowMist.
Tíkers mencionados
Tíkers mencionados: Cripto → USDC, ETH, TRU
Sentimiento
Sentimiento: Neutral
Impacto en el precio
Impacto en el precio: Negativo. La violación destaca los riesgos de seguridad en curso en DeFi y puede influir en el sentimiento de riesgo en torno a la provisión de liquidez responsable y la gestión de aprobaciones.
Idea de trading (No es asesoramiento financiero)
Idea de trading (No es asesoramiento financiero): Mantener. El incidente es específico de un camino de aprobación de enrutador y no implica directamente un riesgo sistémico más amplio para todos los protocolos DeFi, pero merece precaución en torno a la gestión de aprobaciones y la liquidez entre cadenas.
Contexto del mercado
Contexto del mercado: El evento llega en medio de una atención creciente a la seguridad de DeFi y la actividad entre cadenas, donde los proveedores de liquidez y los agregadores dependen cada vez más de componentes modulares. También se sitúa en un contexto de discusiones en evolución sobre la gobernanza on-chain, auditorías y la necesidad de salvaguardas robustas a medida que los protocolos de blue-chip y los nuevos entrantes compiten por la confianza de los usuarios.
Por qué es importante
Por qué es importante
Los incidentes de seguridad en los agregadores DeFi ilustran las superficies de riesgo persistentes presentes cuando múltiples capas de protocolo interactúan. En este caso, la violación se atribuyó a una vulnerabilidad en el contrato de enrutador de SwapNet en lugar de la arquitectura central de Matcha Meta, subrayando cómo la confianza se distribuye a través de componentes de socios en un ecosistema componible. Para los usuarios, el episodio sirve como un recordatorio de revisar y revocar las aprobaciones de tokens regularmente, especialmente después de sospechas de actividad anormal en la cadena.
El impacto financiero, aunque aún está evolucionando, refuerza la importancia de una revisión rigurosa de los proveedores de liquidez externos y la necesidad de un monitoreo en tiempo real de los flujos de aprobación. El hecho de que los atacantes pudieran convertir una parte sustancial de los fondos robados en stablecoins y luego transferir activos a Ethereum destaca la dinámica entre cadenas que complica la trazabilidad posterior al incidente y los esfuerzos de restitución. Las bolsas y los investigadores de seguridad enfatizan el valor de los alcances de permisos granulares y limitados en el tiempo, así como las capacidades de revocación temprana para limitar el radio de explosión de tales exploits.
Desde una perspectiva de mercado, el episodio se suma a una narrativa más amplia sobre la fragilidad de las finanzas sin permisos y la carrera en curso para implementar salvaguardas robustas y auditables a través de capas de ecosistemas DeFi. Si bien no es una acusación sistémica contra Matcha Meta, el incidente intensifica los llamados a auditorías de seguridad estandarizadas de contratos de enrutador y una mayor responsabilidad para los módulos de terceros que interactúan con los fondos de los usuarios.
Qué observar a continuación
Qué observar a continuación
Actualizaciones oficiales de Matcha Meta sobre la causa raíz y cualquier plan de remediación o compensación para los usuarios afectados.
Cualquier auditoría externa o revisión de terceros del contrato de enrutador de SwapNet y cambios de gobernanza para prevenir recurrencias.
Monitoreo on-chain de la actividad del puente Base-a-Ethereum relacionada con este incidente y los movimientos de fondos posteriores.
Desarrollos regulatorios y de estándares industriales en torno a la seguridad de DeFi, particularmente marcos de auditoría de contratos inteligentes y controles de aprobación de usuarios.
Fuentes y verificación
La publicación de Matcha Meta en X advirtiendo a los usuarios que revoquen las aprobaciones de SwapNet después de la violación.
Consejo de CertiK identificando la explotación como derivada de una llamada arbitraria en el contrato 0xswapnet que permitió la transferencia de fondos aprobados.
Actualización de PeckShield señalando que aproximadamente $16.8 millones fueron drenados en Base, incluyendo el intercambio de USDC por ETH y la transferencia a Ethereum.
El Informe Anual de Seguridad Blockchain y AML 2025 de SlowMist detalla la participación de incidentes por categoría, incluyendo el 30.5% atribuido a vulnerabilidades de contratos inteligentes y el 24% a compromisos de cuentas.
Cobertura de Cointelegraph del incidente de Truebit, incluyendo una pérdida de $26 millones y la caída del token TRU, para un contexto más amplio sobre la exposición al riesgo de contratos inteligentes.
Cuerpo del artículo reescrito
La violación de seguridad en Matcha Meta subraya los riesgos de contratos inteligentes en ecosistemas DEX
En el último ejemplo de cómo DeFi puede ser comprometido desde dentro, Matcha Meta reveló que se produjo una violación de seguridad a través de uno de sus principales caminos de provisión de liquidez: el contrato de enrutador de SwapNet. La consecuencia para el usuario es la revocación de las aprobaciones de tokens, que el protocolo instó explícitamente en su publicación pública. La violación no parecía originarse de la infraestructura central de Matcha Meta, indicó la empresa, sino más bien de una vulnerabilidad en la capa de enrutador de un socio que otorgó permisos para mover fondos en nombre de los usuarios.
Las primeras estimaciones de los investigadores de seguridad colocan el impacto financiero en un rango ajustado. CertiK cuantificó las pérdidas en aproximadamente $13.3 millones, mientras que PeckShield informó una cifra mínima más alta de $16.8 millones en la red Base. La discrepancia refleja diferentes métodos contables on-chain y el momento de las revisiones posteriores al incidente, pero ambos análisis confirman una pérdida significativa relacionada con la funcionalidad del enrutador de SwapNet. En Base, el atacante supuestamente intercambió aproximadamente 10.5 millones de USDC (CRYPTO: USDC) por aproximadamente 3,655 ETH (CRYPTO: ETH) y comenzó a transferir las ganancias hacia Ethereum, según el boletín de PeckShield publicado en X.
Hasta ahora, ~$16.8M en criptomonedas han sido drenados. En Base, el atacante intercambió ~10.5M USDC por ~3,655 ETH y ha comenzado a transferir fondos a Ethereum.
La evaluación de CertiK proporciona una explicación técnica para la explotación: una llamada arbitraria en el contrato 0xswapnet permitió al atacante retirar fondos que los usuarios ya habían aprobado, eludiendo efectivamente un robo directo del fondo de liquidez de SwapNet y aprovechando en su lugar los permisos otorgados al enrutador. Esta distinción es importante porque indica un defecto de gobernanza o diseño en la capa de integración en lugar de una violación de la custodia o los controles de seguridad de Matcha Meta.
Matcha Meta reconoció que la exposición está vinculada a SwapNet y no atribuyó la vulnerabilidad a su propia infraestructura. Los intentos de obtener comentarios sobre los mecanismos de compensación o salvaguardas no fueron devueltos de inmediato, dejando a los usuarios afectados sin un camino claro de remediación a corto plazo. El incidente ilustra un perfil de riesgo más amplio para los agregadores DEX: cuando las asociaciones introducen nuevas interfaces de contrato, los atacantes pueden apuntar a flujos permitidos que se sitúan en la intersección de las aprobaciones de los usuarios y las transferencias automáticas de fondos.
El panorama de seguridad más amplio en criptomonedas sigue siendo obstinadamente precario. En 2025, las vulnerabilidades de contratos inteligentes fueron la principal causa de exploits en criptomonedas, representando el 30.5% de los incidentes y 56 eventos en total, según el informe anual de SlowMist. Esta participación destaca cómo incluso los proyectos sofisticados pueden tropezar con errores de caso límite o configuraciones incorrectas en el código que gobierna la transferencia automática de valor. Los compromisos de cuentas y los compromisos de cuentas sociales (como los manejos de X de las víctimas) también representaron una porción considerable de incidentes, subrayando la naturaleza de múltiples vectores del kit de herramientas de los atacantes.
Más allá de los ángulos puramente técnicos, el incidente alimenta un discurso creciente sobre el uso de inteligencia artificial en la seguridad de contratos inteligentes. Informes de DICIEMBRE señalaron que agentes de IA comercialmente disponibles descubrieron aproximadamente $4.6 millones en exploits on-chain en tiempo real, aprovechando herramientas como Claude Opus 4.5, Claude Sonnet 4.5 y GPT-5 de OpenAI. La aparición de técnicas de sondeo y explotación habilitadas por IA agrega una capa de complejidad a la evaluación de riesgos para auditores y operadores por igual. Este paisaje de amenazas en evolución refuerza la necesidad de un monitoreo continuo, la revocación rápida de permisos y medidas defensivas adaptables en ecosistemas DeFi.
Dos semanas antes del incidente de SwapNet, otra vulnerabilidad de contrato inteligente de alto perfil resultó en $26 millones en pérdidas para el protocolo Truebit, seguido de una fuerte reacción en el precio del token TRU (CRYPTO: TRU). Tales episodios subrayan el hecho de que la capa de contrato inteligente sigue siendo una superficie principal de ataque para los hackers, incluso cuando otros dominios dentro de la esfera de criptomonedas—custodia, infraestructura centralizada y componentes fuera de la cadena—también enfrentan amenazas persistentes. El tema recurrente es que la gestión de riesgos debe extenderse más allá de las auditorías y recompensas por errores para incluir gobernanza en vivo, monitoreo en tiempo real y prácticas prudentes de los usuarios en torno a aprobaciones y movimientos entre cadenas.
A medida que el mercado digiere las implicaciones, los observadores enfatizan que el camino hacia la resiliencia en DeFi depende de salvaguardas en capas y una respuesta transparente a incidentes. Si bien la vulnerabilidad de SwapNet parece aislada a una integración particular, el incidente refuerza una lección central: incluso los socios de confianza pueden introducir riesgo sistémico si sus contratos interactúan con los fondos de los usuarios de maneras que eviten las salvaguardas estándar. El registro on-chain continuará desarrollándose a medida que los investigadores, Matcha Meta y sus socios de liquidez realicen revisiones forenses y determinen si las víctimas recibirán compensación o mejoras en los controles de riesgo que pueden prevenir incidentes similares en el futuro.
Este artículo fue publicado originalmente como Matcha Meta afectado por el hackeo de contrato inteligente de $16.8M de SwapNet en Crypto Breaking News – su fuente confiable de noticias sobre criptomonedas, noticias sobre Bitcoin y actualizaciones de blockchain.