Giới thiệu
Vào Chủ nhật, Matcha Meta đã công bố rằng một lỗ hổng bảo mật liên quan đến một trong những nhà cung cấp thanh khoản chính của nó, SwapNet, đã làm tổn hại đến những người dùng đã cấp quyền cho hợp đồng định tuyến của SwapNet. Sự cố này nhấn mạnh cách mà các thành phần có quyền trong các hệ sinh thái trao đổi phi tập trung có thể trở thành các vector tấn công ngay cả khi cơ sở hạ tầng cốt lõi vẫn nguyên vẹn. Những đánh giá công khai ban đầu ước tính thiệt hại trong khoảng từ 13 triệu đến 17 triệu đô la, với hoạt động trên chuỗi tập trung vào mạng Base và các chuyển động chuỗi chéo hướng tới Ethereum. Việc công bố đã thúc đẩy người dùng thu hồi quyền và gia tăng sự giám sát về cách mà các hợp đồng thông minh tiếp xúc với các bộ định tuyến bên ngoài được bảo vệ.
Những điểm chính
Cuộc xâm phạm bắt nguồn từ hợp đồng định tuyến của SwapNet, thúc giục một cuộc gọi khẩn cấp để người dùng thu hồi các phê duyệt nhằm ngăn chặn thêm thiệt hại.
Các ước tính về số tiền bị đánh cắp khác nhau: CertiK báo cáo khoảng 13.3 triệu đô la, trong khi PeckShield ghi nhận ít nhất 16.8 triệu đô la trên mạng Base.
Trên Base, kẻ tấn công đã hoán đổi khoảng 10.5 triệu USDC lấy khoảng 3,655 ETH và bắt đầu chuyển tiền sang Ethereum.
CertiK quy trách nhiệm lỗ hổng cho một cuộc gọi tùy ý trong hợp đồng 0xswapnet, cho phép kẻ tấn công chuyển tiền đã được người dùng chấp thuận.
Matcha Meta đã chỉ ra rằng việc lộ thông tin liên quan đến SwapNet chứ không phải hạ tầng của chính mình, và các quan chức vẫn chưa cung cấp chi tiết về bồi thường hoặc biện pháp bảo vệ.
Các điểm yếu của hợp đồng thông minh tiếp tục là động lực chính cho các cuộc tấn công crypto, chiếm 30.5% các sự cố trong năm 2025, theo báo cáo bảo mật hàng năm của SlowMist.
Mã ký hiệu được đề cập
Mã ký hiệu được đề cập: Crypto → USDC, ETH, TRU
Tâm lý
Tâm lý: Trung lập
Tác động giá
Tác động giá: Tiêu cực. Cuộc xâm phạm làm nổi bật các rủi ro bảo mật đang diễn ra trong DeFi và có thể ảnh hưởng đến tâm lý rủi ro xung quanh việc cung cấp thanh khoản có trách nhiệm và quản lý phê duyệt.
Ý tưởng giao dịch (Không phải tư vấn tài chính)
Ý tưởng giao dịch (Không phải tư vấn tài chính): Giữ. Sự cố này cụ thể cho một con đường phê duyệt định tuyến và không trực tiếp ngụ ý rủi ro hệ thống rộng hơn đối với tất cả các giao thức DeFi, nhưng nó cần thận trọng xung quanh việc quản lý phê duyệt và thanh khoản xuyên chuỗi.
Bối cảnh thị trường
Bối cảnh thị trường: Sự kiện này diễn ra trong bối cảnh sự chú ý gia tăng đến bảo mật DeFi và hoạt động xuyên chuỗi, nơi các nhà cung cấp thanh khoản và các nhà tổng hợp ngày càng phụ thuộc vào các thành phần mô-đun. Nó cũng ngồi trên nền tảng của những cuộc thảo luận đang phát triển về quản trị trên chuỗi, kiểm toán và nhu cầu về các biện pháp bảo vệ vững chắc khi các giao thức blue-chip và các đối thủ mới cạnh tranh cho lòng tin của người dùng.
Tại sao điều này quan trọng
Tại sao điều này quan trọng
Các sự cố bảo mật tại các nhà tổng hợp DeFi minh họa các bề mặt rủi ro liên tục hiện diện khi nhiều lớp giao thức tương tác. Trong trường hợp này, cuộc xâm phạm được quy cho một lỗ hổng trong hợp đồng định tuyến của SwapNet chứ không phải kiến trúc cốt lõi của Matcha Meta, làm nổi bật cách mà lòng tin được phân phối qua các thành phần đối tác trong một hệ sinh thái có thể kết hợp. Đối với người dùng, sự cố này là một lời nhắc nhở để xem xét và thu hồi các phê duyệt token thường xuyên, đặc biệt là sau khi nghi ngờ về hoạt động bất thường trên chuỗi.
Tác động tài chính, trong khi vẫn đang phát triển, củng cố tầm quan trọng của việc thẩm định kỹ lưỡng các nhà cung cấp thanh khoản bên ngoài và nhu cầu theo dõi thời gian thực các luồng chấp thuận. Việc kẻ tấn công có thể chuyển đổi một phần lớn số tiền bị đánh cắp thành stablecoins và sau đó chuyển tài sản sang Ethereum làm nổi bật động lực xuyên chuỗi phức tạp hóa việc truy dấu sau sự cố và nỗ lực bồi hoàn. Các sàn giao dịch và các nhà nghiên cứu bảo mật nhấn mạnh giá trị của các phạm vi quyền hạn chi tiết, có thời hạn và khả năng thu hồi sớm để giới hạn quy mô thiệt hại của những cuộc tấn công như vậy.
Từ góc độ thị trường, sự cố này góp phần vào một câu chuyện rộng hơn về tính dễ bị tổn thương của tài chính không cần cấp phép và cuộc đua diễn ra liên tục để triển khai các biện pháp bảo vệ mạnh mẽ, có thể kiểm toán trên nhiều lớp của hệ sinh thái DeFi. Mặc dù không phải là một sự chỉ trích hệ thống đối với Matcha Meta, sự cố này làm tăng thêm các yêu cầu về việc kiểm toán bảo mật tiêu chuẩn hóa cho các hợp đồng định tuyến và tính trách nhiệm rõ ràng đối với các mô-đun bên thứ ba tương tác với tiền của người dùng.
Những gì cần theo dõi tiếp theo
Những gì cần theo dõi tiếp theo
Các cập nhật chính thức của Matcha Meta về nguyên nhân gốc rễ và bất kỳ kế hoạch khắc phục hoặc bồi thường nào cho người dùng bị ảnh hưởng.
Bất kỳ kiểm toán bên ngoài hoặc đánh giá bên thứ ba nào về hợp đồng định tuyến của SwapNet và các thay đổi về quản trị để ngăn chặn sự tái diễn.
Theo dõi trên chuỗi các hoạt động cầu nối từ Base sang Ethereum liên quan đến sự cố này và các chuyển động quỹ sau đó.
Các phát triển về quy định và tiêu chuẩn ngành xung quanh bảo mật DeFi, đặc biệt là các khung kiểm toán hợp đồng thông minh và kiểm soát phê duyệt người dùng.
Nguồn và xác minh
Bài đăng của Matcha Meta trên X cảnh báo người dùng thu hồi các quyền chấp thuận SwapNet sau khi bị xâm phạm.
Thông báo từ CertiK xác định rằng lỗ hổng bắt nguồn từ một cuộc gọi tùy ý trong hợp đồng 0xswapnet cho phép chuyển tiền đã được chấp thuận.
Cập nhật từ PeckShield lưu ý khoảng 16.8 triệu đô la đã bị rút trên Base, bao gồm việc hoán đổi USDC lấy ETH và chuyển sang Ethereum.
Báo cáo thường niên về Bảo mật Blockchain và AML năm 2025 của SlowMist chi tiết tỷ lệ các sự cố theo loại, bao gồm 30.5% được quy cho các lỗ hổng hợp đồng thông minh và 24% do các tài khoản bị xâm phạm.
Báo cáo của Cointelegraph về sự cố Truebit, bao gồm tổn thất 26 triệu đô la và sự suy giảm của token TRU, để cung cấp bối cảnh rộng hơn về việc lộ rủi ro hợp đồng thông minh.
Nội dung bài viết đã được viết lại
Cuộc xâm phạm bảo mật tại Matcha Meta làm nổi bật các rủi ro hợp đồng thông minh trong các hệ sinh thái DEX
Trong ví dụ mới nhất về việc DeFi có thể bị xâm phạm từ bên trong, Matcha Meta đã tiết lộ rằng một cuộc xâm phạm bảo mật đã xảy ra thông qua một trong những con đường cung cấp thanh khoản chính của nó—hợp đồng định tuyến của SwapNet. Hệ quả đối với người dùng là việc thu hồi các quyền chấp thuận token, mà giao thức đã yêu cầu công khai trong bài đăng của mình. Cuộc xâm phạm dường như không xuất phát từ hạ tầng cốt lõi của Matcha Meta, công ty cho biết, mà từ một lỗ hổng trong lớp định tuyến của một đối tác đã cấp quyền để di chuyển tiền thay mặt cho người dùng.
Các ước tính ban đầu từ các nhà nghiên cứu bảo mật cho thấy tác động tài chính nằm trong một khoảng chặt chẽ. CertiK đã định lượng tổn thất khoảng 13.3 triệu đô la, trong khi PeckShield báo cáo một con số tối thiểu cao hơn là 16.8 triệu đô la trên mạng Base. Sự chênh lệch này phản ánh các phương pháp kế toán trên chuỗi khác nhau và thời gian xem xét sau sự cố, nhưng cả hai phân tích đều xác nhận một tổn thất có ý nghĩa liên quan đến chức năng định tuyến của SwapNet. Trên Base, kẻ tấn công được báo cáo đã hoán đổi khoảng 10.5 triệu USDC (CRYPTO: USDC) lấy khoảng 3,655 ETH (CRYPTO: ETH) và bắt đầu chuyển đổi số tiền thu được sang Ethereum, theo bản tin của PeckShield được đăng trên X.
Cho đến nay, khoảng 16.8 triệu đô la crypto đã bị rút. Trên Base, kẻ tấn công đã hoán đổi khoảng 10.5 triệu USDC lấy khoảng 3,655 ETH và đã bắt đầu chuyển tiền sang Ethereum.
Đánh giá của CertiK cung cấp một giải thích kỹ thuật cho lỗ hổng: một cuộc gọi tùy ý trong hợp đồng 0xswapnet đã cho phép kẻ tấn công rút tiền mà người dùng đã phê duyệt, vượt qua việc đánh cắp trực tiếp từ pool thanh khoản của SwapNet và thay vào đó tận dụng các quyền được cấp cho router. Sự phân biệt này quan trọng vì nó chỉ ra một lỗi chính quyền hoặc thiết kế ở lớp tích hợp chứ không phải là sự xâm phạm vào sự quản lý hoặc kiểm soát bảo mật của chính Matcha Meta.
Matcha Meta đã thừa nhận rằng việc lộ thông tin liên quan đến SwapNet và không quy trách nhiệm cho hạ tầng của chính mình. Những nỗ lực để có được bình luận về cơ chế bồi thường hoặc biện pháp bảo vệ chưa được trả lời ngay lập tức, để lại cho những người dùng bị ảnh hưởng không có con đường khắc phục rõ ràng trong thời gian gần. Sự cố này minh họa một hồ sơ rủi ro rộng hơn cho các nhà tổng hợp DEX: khi các quan hệ đối tác giới thiệu các giao diện hợp đồng mới, những kẻ tấn công có thể nhắm đến các luồng được cấp phép nằm ở giao điểm giữa sự chấp thuận của người dùng và việc chuyển tiền tự động.
Cảnh quan bảo mật rộng hơn trong crypto vẫn còn khá mong manh. Vào năm 2025, các lỗ hổng hợp đồng thông minh là nguyên nhân hàng đầu gây ra các cuộc tấn công crypto, chiếm 30.5% các sự cố và 56 sự kiện tổng cộng, theo báo cáo hàng năm của SlowMist. Tỷ lệ này làm nổi bật cách mà ngay cả những dự án tinh vi cũng có thể bị vấp ngã bởi các lỗi hoặc cấu hình sai ở mã điều chỉnh việc chuyển giá trị tự động. Các tài khoản bị xâm phạm và các tài khoản xã hội bị xâm phạm (chẳng hạn như các tài khoản X của nạn nhân) cũng chiếm một phần lớn các sự cố, nhấn mạnh tính đa chiều của bộ công cụ của những kẻ tấn công.
Ngoài các khía cạnh kỹ thuật thuần túy, sự cố này còn thúc đẩy một cuộc thảo luận ngày càng tăng về việc sử dụng trí tuệ nhân tạo trong bảo mật hợp đồng thông minh. Các báo cáo vào tháng MƯỜI HAI cho biết rằng các tác nhân AI có sẵn trên thị trường đã phát hiện khoảng 4.6 triệu đô la giá trị các cuộc tấn công trên chuỗi trong thời gian thực, tận dụng các công cụ như Claude Opus 4.5, Claude Sonnet 4.5 và GPT-5 của OpenAI. Sự xuất hiện của các kỹ thuật thăm dò và khai thác được hỗ trợ bởi AI thêm một lớp phức tạp vào việc đánh giá rủi ro cho các kiểm toán viên và nhà điều hành. Cảnh quan đe dọa đang phát triển này củng cố nhu cầu về việc theo dõi liên tục, thu hồi nhanh chóng các quyền và các biện pháp phòng thủ linh hoạt trong các hệ sinh thái DeFi.
Hai tuần trước sự cố SwapNet, một lỗ hổng hợp đồng thông minh nổi bật khác đã dẫn đến tổn thất 26 triệu đô la cho giao thức Truebit, tiếp theo là phản ứng giá mạnh mẽ trong token TRU (CRYPTO: TRU). Những sự cố như vậy nhấn mạnh thực tế rằng lớp hợp đồng thông minh vẫn là bề mặt tấn công chính cho các hacker, ngay cả khi các lĩnh vực khác trong không gian crypto—quản lý, cơ sở hạ tầng tập trung, và các thành phần ngoài chuỗi—cũng đối mặt với những mối đe dọa liên tục. Chủ đề lặp lại là quản lý rủi ro phải mở rộng hơn kiểm toán và tiền thưởng lỗi để bao gồm quản trị trực tiếp, theo dõi thời gian thực và thực hành người dùng thận trọng xung quanh các phê duyệt và di chuyển xuyên chuỗi.
Khi thị trường tiêu hóa các hệ quả, những người quan sát nhấn mạnh rằng con đường để phục hồi trong DeFi phụ thuộc vào các biện pháp bảo vệ lớp và phản ứng sự cố minh bạch. Trong khi lỗ hổng của SwapNet dường như chỉ giới hạn ở một tích hợp cụ thể, sự cố củng cố một bài học trung tâm: ngay cả những đối tác đáng tin cậy cũng có thể giới thiệu rủi ro hệ thống nếu các hợp đồng của họ tương tác với tiền của người dùng theo cách vượt qua các biện pháp bảo vệ tiêu chuẩn. Hồ sơ trên chuỗi sẽ tiếp tục mở ra khi các nhà điều tra, Matcha Meta và các đối tác thanh khoản của nó thực hiện các đánh giá pháp y và xác định liệu các nạn nhân có nhận được bồi thường hoặc nâng cao các biện pháp kiểm soát rủi ro có thể ngăn chặn các sự cố tương tự trong tương lai hay không.
Bài viết này được xuất bản lần đầu tiên với tiêu đề Matcha Meta Bị Tấn Công Hợp Đồng Thông Minh SwapNet 16.8 triệu đô la trên Crypto Breaking News – nguồn tin đáng tin cậy của bạn về tin tức crypto, tin tức Bitcoin, và cập nhật blockchain.