Introdução
No domingo, a Matcha Meta divulgou que uma violação de segurança vinculada a um de seus principais provedores de liquidez, a SwapNet, comprometeu usuários que haviam concedido aprovações ao contrato do roteador da SwapNet. O incidente ressalta como componentes com permissão dentro dos ecossistemas de troca descentralizada podem se tornar vetores de ataque, mesmo quando a infraestrutura central permanece intacta. Avaliações públicas iniciais colocam as perdas na faixa de aproximadamente $13 milhões a $17 milhões, com a atividade on-chain centrada na rede Base e movimentos cross-chain em direção ao Ethereum. A divulgação levou a solicitações para que os usuários revogassem aprovações e aumentou o escrutínio sobre como os contratos inteligentes expostos a roteadores externos são protegidos.
Principais Conclusões
A violação originou-se através do contrato de roteador do SwapNet, provocando um chamado urgente para os usuários revogarem aprovações para prevenir mais perdas.
As estimativas dos fundos roubados variam: a CertiK relatou cerca de $13,3 milhões, enquanto a PeckShield contabiliza pelo menos $16,8 milhões na rede Base.
Na Base, o atacante trocou aproximadamente 10,5 milhões de USDC por cerca de 3.655 ETH e começou a transferir fundos para Ethereum.
A CertiK atribuiu a vulnerabilidade a uma chamada arbitrária no contrato 0xswapnet, que permitiu ao atacante transferir fundos já aprovados para ele.
A Matcha Meta indicou que a exposição estava ligada ao SwapNet e não à sua própria infraestrutura, e os oficiais ainda não forneceram detalhes sobre compensação ou salvaguardas.
As fraquezas em contratos inteligentes continuam a ser o principal motor de explorações em cripto, representando 30,5% dos incidentes em 2025, segundo o relatório anual de segurança da SlowMist.
Tickers Mencionados
Tickers mencionados: Cripto → USDC, ETH, TRU
Sentimento
Sentimento: Neutro
Impacto no Preço
Impacto no preço: Negativo. A violação destaca riscos de segurança contínuos na DeFi e pode influenciar o sentimento de risco em torno da provisão de liquidez responsável e da gestão de aprovações.
Ideia de negociação (Não é conselho financeiro)
Ideia de negociação (Não é conselho financeiro): Segurar. O incidente é específico para um caminho de aprovação de roteador e não implica diretamente em um risco sistêmico mais amplo para todos os protocolos DeFi, mas merece atenção em torno da gestão de aprovações e liquidez entre cadeias.
Contexto de mercado
Contexto de mercado: O evento chega em meio a uma atenção crescente à segurança da DeFi e à atividade entre cadeias, onde provedores de liquidez e agregadores cada vez mais dependem de componentes modulares. Também se insere em um contexto de discussões em evolução sobre governança on-chain, auditorias e a necessidade de salvaguardas robustas à medida que protocolos de primeira linha e novos entrantes competem pela confiança dos usuários.
Por que isso é importante
Por que isso é importante
Incidentes de segurança em agregadores DeFi ilustram as superfícies de risco persistentes presentes quando múltiplas camadas de protocolo interagem. Neste caso, a violação foi atribuída a uma vulnerabilidade no contrato de roteador do SwapNet, em vez da arquitetura central da Matcha Meta, sublinhando como a confiança é distribuída entre componentes parceiros em um ecossistema composicional. Para os usuários, o episódio serve como um lembrete para revisar e revogar aprovações de tokens regularmente, especialmente após suspeitas de atividade anormal on-chain.
O impacto financeiro, embora ainda em evolução, reforça a importância de uma avaliação rigorosa de provedores de liquidez externos e a necessidade de monitoramento em tempo real dos fluxos de aprovação. O fato de que os atacantes conseguiram converter uma parte substancial dos fundos roubados em stablecoins e, em seguida, transferir ativos para Ethereum destaca a dinâmica entre cadeias que complicam a rastreabilidade pós-incidente e os esforços de restituição. As exchanges e os pesquisadores de segurança enfatizam o valor de escopos de permissão granulares e limitados no tempo e capacidades de revogação precoce para limitar o raio de explosão de tais explorações.
Do ponto de vista do mercado, o episódio adiciona a uma narrativa mais ampla sobre a fragilidade das finanças sem permissão e a corrida contínua para implementar salvaguardas robustas e auditáveis em camadas dos ecossistemas DeFi. Embora não seja uma condenação sistêmica da Matcha Meta, o incidente intensifica os apelos por auditorias de segurança padronizadas de contratos de roteador e maior responsabilidade para módulos de terceiros que interagem com os fundos dos usuários.
O que observar a seguir
O que observar a seguir
Atualizações oficiais da Matcha Meta sobre a causa raiz e quaisquer planos de remediação ou compensação para usuários afetados.
Quaisquer auditorias externas ou revisões de terceiros do contrato de roteador do SwapNet e mudanças de governança para prevenir recorrências.
Monitoramento on-chain da atividade da ponte Base-para-Ethereum relacionada a este incidente e movimentos subsequentes de fundos.
Desenvolvimentos regulatórios e padrões da indústria em torno da segurança DeFi, particularmente estruturas de auditoria de contratos inteligentes e controles de aprovação de usuários.
Fontes & verificação
Postagem da Matcha Meta no X alertando os usuários para revogar aprovações do SwapNet após a violação.
Aviso da CertiK identificando a exploração como proveniente de uma chamada arbitrária no contrato 0xswapnet que permitia a transferência de fundos aprovados.
Atualização da PeckShield observando aproximadamente $16,8 milhões drenados na Base, incluindo a troca de USDC por ETH e a transferência para Ethereum.
O Relatório Anual de Segurança Blockchain e AML 2025 da SlowMist detalhando a participação de incidentes por categoria, incluindo 30,5% atribuídos a vulnerabilidades em contratos inteligentes e 24% a compromissos de conta.
Cobertura da Cointelegraph sobre o incidente Truebit, incluindo uma perda de $26 milhões e a queda do token TRU, para um contexto mais amplo sobre a exposição ao risco de contratos inteligentes.
Corpo do artigo reescrito
A violação de segurança na Matcha Meta sublinha os riscos de contratos inteligentes nos ecossistemas DEX
No mais recente exemplo de como a DeFi pode ser comprometida de dentro, a Matcha Meta revelou que uma violação de segurança ocorreu através de um de seus principais caminhos de provisão de liquidez—o contrato de roteador do SwapNet. A consequência visível para o usuário é a revogação de aprovações de tokens, que o protocolo pediu explicitamente em sua postagem pública. A violação não parecia ter origem na infraestrutura central da Matcha Meta, indicou a empresa, mas sim de uma vulnerabilidade na camada de roteador de um parceiro que concedeu permissões para mover fundos em nome dos usuários.
Estimativas iniciais de pesquisadores de segurança colocaram o impacto financeiro em uma faixa estreita. A CertiK quantificou as perdas em cerca de $13,3 milhões, enquanto a PeckShield relatou uma figura mínima mais alta de $16,8 milhões na rede Base. A discrepância reflete diferentes métodos de contabilidade on-chain e o momento das revisões pós-incidente, mas ambas as análises confirmam uma perda significativa ligada à funcionalidade do roteador do SwapNet. Na Base, o atacante supostamente trocou aproximadamente 10,5 milhões de USDC (CRYPTO: USDC) por cerca de 3.655 ETH (CRYPTO: ETH) e começou a transferir os proventos para o Ethereum, de acordo com o boletim da PeckShield postado no X.
Até agora, ~$16,8M em criptomoeda foram drenados. Na Base, o atacante trocou ~10,5M USDC por ~3.655 ETH e começou a transferir fundos para Ethereum.
A avaliação da CertiK fornece uma explicação técnica para a exploração: uma chamada arbitrária no contrato 0xswapnet permitiu ao atacante retirar fundos que os usuários já haviam aprovado, contornando efetivamente um roubo direto do pool de liquidez do SwapNet e, em vez disso, aproveitando as permissões concedidas ao roteador. Essa distinção é importante porque aponta para um defeito de governança ou design na camada de integração, em vez de uma violação do próprio controle de custódia ou segurança da Matcha Meta.
Matcha Meta reconheceu que a exposição está ligada ao SwapNet e não atribuiu a vulnerabilidade à sua própria infraestrutura. Tentativas de garantir comentários sobre mecanismos de compensação ou salvaguardas não foram imediatamente respondidas, deixando os usuários afetados sem um caminho claro de remediação no curto prazo. O incidente ilustra um perfil de risco mais amplo para agregadores DEX: quando parcerias introduzem novas interfaces de contrato, atacantes podem direcionar fluxos permitidos que estão na interseção de aprovações de usuários e transferências automáticas de fundos.
O panorama de segurança mais amplo em cripto permanece teimosamente precário. Em 2025, vulnerabilidades em contratos inteligentes foram a principal causa de explorações em cripto, representando 30,5% dos incidentes e 56 eventos totais, de acordo com o relatório anual da SlowMist. Essa participação destaca como até mesmo projetos sofisticados podem ser pegos por bugs de casos extremos ou má configurações no código que governa a transferência automática de valor. Compromissos de conta e contas sociais comprometidas (como os identificadores X das vítimas) também representaram uma parte considerável dos incidentes, sublinhando a natureza multi-vetorial da caixa de ferramentas dos atacantes.
Além dos ângulos puramente técnicos, o incidente alimenta um discurso crescente em torno do uso de inteligência artificial na segurança de contratos inteligentes. Relatórios de DEZEMBRO notaram que agentes de IA comercialmente disponíveis descobriram aproximadamente $4,6 milhões em explorações on-chain em tempo real, utilizando ferramentas como Claude Opus 4.5, Claude Sonnet 4.5 e o GPT-5 da OpenAI. A emergência de técnicas de sondagem e exploração habilitadas por IA adiciona uma camada de complexidade à avaliação de riscos para auditores e operadores. Este panorama de ameaças em evolução reforça a necessidade de monitoramento contínuo, revogação rápida de permissões e medidas defensivas adaptáveis nos ecossistemas DeFi.
Duas semanas antes do incidente do SwapNet, outra vulnerabilidade de contrato inteligente de alto perfil resultou em perdas de $26 milhões para o protocolo Truebit, seguida por uma reação acentuada no preço do token TRU (CRYPTO: TRU). Episódios como esses sublinham o fato de que a camada de contrato inteligente continua a ser uma superfície de ataque primária para hackers, mesmo enquanto outros domínios dentro da esfera cripto—custódia, infraestrutura centralizada e componentes off-chain—também enfrentam ameaças persistentes. O tema recorrente é que a gestão de riscos deve se estender além de auditorias e recompensas por bugs para incluir governança ao vivo, monitoramento em tempo real e práticas prudentes dos usuários em torno de aprovações e movimentos entre cadeias.
À medida que o mercado digere as implicações, os observadores enfatizam que o caminho para a resiliência na DeFi depende de salvaguardas em camadas e resposta a incidentes transparente. Embora a vulnerabilidade do SwapNet pareça isolada a uma integração particular, o incidente reforça uma lição central: mesmo parceiros confiáveis podem introduzir risco sistêmico se seus contratos interagirem com os fundos dos usuários de maneiras que contornem salvaguardas padrão. O registro on-chain continuará a se desdobrar à medida que investigadores, Matcha Meta e seus parceiros de liquidez realizem revisões forenses e determinem se as vítimas receberão compensação ou melhorias nos controles de risco que possam prevenir incidentes semelhantes no futuro.
Este artigo foi publicado originalmente como Matcha Meta Atacada por $16,8M em Hack de Contrato Inteligente do SwapNet no Crypto Breaking News – sua fonte confiável para notícias sobre criptomoedas, notícias sobre Bitcoin e atualizações de blockchain.