SwapNet，一個去中心化交易聚合器，在攻擊者利用一個被妥協的路由器合同時損失了約1680萬美元的加密資產，因爲用戶在禁用一個關鍵安全功能後授予了持久代幣權限。

發生了什麼：DEX聚合器的漏洞

安全公司PeckShield報告了此次攻擊，該攻擊針對通過Matcha Meta訪問的與SwapNet相關的活動，Matcha Meta是由0x團隊開發的DEX元聚合器。該漏洞影響了那些已禁用0x的“一次性授權”（One-Time Approval）系統的用戶，直接向底層聚合合同授予權限。

在Base網絡上，攻擊者將大約1050萬美元轉換爲USDC（USDC），並大約換取3655個以太（ETH），然後將資金轉移到以太坊（ETH）上。

這一舉動是一種常見的策略，用於複雜化追蹤工作。

Matcha Meta在一份聲明中表示：“我們知道有一起涉及SwapNet的事件，一些禁用了單次授權的Matcha Meta用戶可能受到影響。”該平臺已確認SwapNet的路由合約（0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e）是用戶需要撤銷的最緊急授權。

另請閱讀：韓國檢方因網絡釣魚攻擊損失4700萬美元的被扣比特幣

爲什麼這很重要：持續存在的DeFi漏洞

該事件突顯了在去中心化金融中便利性與安全性之間的根本緊張關係。單次授權要求用戶逐筆驗證每一筆交易，這減少了持續的攻擊面，但爲頻繁交易者增加了摩擦。無限授權則以快速爲代價，允許智能合約持續訪問用戶資金。

SwapNet尚未發佈技術性事後報告，也未表示受影響的用戶是否會得到補償。

在同一天，安全審計員Pashov報告了以太坊主網的另一處漏洞，涉及大約37個WBTC（WBTC），價值超過310萬美元，相關的合約在41天前才被部署，且未經過驗證。

大約一個月前，DeFi社區因Trust Wallet的黑客攻擊而感到震驚。

Trust Wallet確認通過瀏覽器擴展的安全更新被盜取了大約700萬美元的加密貨幣。該漏洞僅影響了於12月24日發佈的Chrome擴展的2.68版本。幸運的是，移動應用程序的用戶並未受到影響。Trust Wallet的擁有者Binance的創始人趙長鵬表示，該錢包將賠償所有受影響的用戶。

接下來閱讀：爲什麼鯨魚在購買Seeker而聰明資金在出售？