SwapNet, агрегатор децентрализованных обменов, потерял около 16,8 миллионов долларов активов в криптовалюте после того, как злоумышленники использовали скомпрометированный контракт маршрутизатора, которому пользователи предоставили разрешения на токены, отключив ключевую функцию безопасности.

Что произошло: уязвимость на агрегаторе DEX

Компания безопасности PeckShield сообщила о нападении, которое нацелилось на деятельность, связанную с SwapNet, доступным через Matcha Meta, мета-агрегатор DEX, разработанный командой 0x. Уязвимость затронула пользователей, которые отключили систему «единого разрешения» (One-Time Approval) от 0x, предоставляя прямые разрешения подлежащим контрактам агрегирования.

В сети Base нападающий конвертировал около 10,5 миллионов долларов в USDC (USDC) в приблизительно 3 655 Ether (ETH) перед тем, как перевести средства на Ethereum (ETH).

Этот маневр является распространенной тактикой, используемой для усложнения усилий по отслеживанию.

«Мы в курсе инцидента, связанного с SwapNet, которому могли быть подвергнуты некоторые пользователи Matcha Meta, отключившие единственные разрешения», — заявила Matcha Meta в пресс-релизе. Платформа идентифицировала контракт маршрутизатора SwapNet (0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e) как наиболее срочное разрешение, которое пользователи должны отозвать.

Читать также: Южнокорейские прокуроры потеряли 47 миллионов долларов в конфискованном биткойне из-за фишинговой атаки

Почему это важно: постоянные уязвимости DeFi

Инцидент подчеркивает основное противоречие в децентрализованных финансах между удобством и безопасностью. Единственные разрешения обязывают пользователей подтверждать каждую транзакцию индивидуально, что уменьшает постоянную поверхность атаки, но добавляет трение для частых трейдеров. Безлимитные разрешения обеспечивают скорость за счет постоянного доступа смарт-контрактов к средствам пользователей.

SwapNet еще не опубликовал технический отчет по инциденту и не указал, будут ли пострадавшие пользователи компенсированы.

В тот же день аудитор безопасности Пашов сообщил о другой уязвимости на основной сети Ethereum, связанной с примерно 37 WBTC (WBTC), стоимостью более 3,1 миллиона долларов, связанной с закрытым и непроверенным контрактом, развернутым всего 41 день назад.

Около месяца назад сообщество DeFi было шокировано взломом Trust Wallet.

Trust Wallet подтвердил, что около 7 миллионов долларов в криптовалюте были украдены через скомпрометированное обновление расширения браузера. Уязвимость затронула только версию 2.68 расширения Chrome, выпущенную 24 декабря. К счастью, пользователи мобильного приложения не пострадали. Чанпен Чжао, основатель Binance, владельца Trust Wallet, заявил, что кошелек компенсирует всех пострадавших пользователей.

Читать далее: Почему киты покупают Seeker, в то время как умные деньги продают?