Matcha Meta видаляє прямі дозволи після експлойту SwapNet на $16,8 млн
Matcha Meta розкрила експлойт, пов'язаний зі SwapNet, який дозволив зловмисникам вивести близько 16,8 млн доларів, скориставшись вразливістю «довільного виклику» (arbitrary call) у контракті роутера SwapNet. Компанії з безпеки PeckShield та CertiK повідомили, що зловмисник обміняв приблизно 10,5–13,3 млн USDC на Base на близько 3 655 ETH і перевів прибутки на Ethereum через міст (bridge). Matcha Meta зазначила, що під загрозою були користувачі, які вимкнули One-Time Approval та встановили прямі дозволи (allowances) на контракти агрегаторів; аккаунти, які використовували One-Time Approval, не постраждали. Після консультацій з розробниками протоколу 0x Matcha Meta підтвердила, що проблема не стосувалася контрактів AllowanceHolder або Settler від 0x, і видалила опцію встановлення прямих дозволів, щоб зменшити майбутні ризики. Інцидент підкреслює постійні ризики смарт-контрактів при інтеграції агрегаторів та крос-чейн міст. Трейдерам слід перевірити й відкликати постійні дозволи, уникати прямих підтверджень для агрегаторів, контролювати потоки мостів і бути обережними з новими функціями агрегаторів. Цей експлойт додається до ширшої тенденції недавніх втрат у DeFi — включаючи зломи Bybit, Makina Finance і SagaEVM — і посилює занепокоєння щодо безпеки, що може вплинути на ліквідність і премії за ризик на ринках DeFi.
Bearish
Експлойт, ймовірно, має медвежий вплив на токени та сервіси, прямо причетні до інциденту, оскільки підвищує сприйняття ризику навколо інтеграцій агрегаторів і крос‑чейн операцій. Короткострокові ефекти: посилення тиску продажів або зниження попиту на токени, пов’язані з агрегаторами, та активи на постраждалих ланцюгах (насамперед ліквідність ETH, переміщена через Base), зростання витрат на газ при бриджингу та короткострокова поведінка з ухиленням від ризику у трейдерів, які відкликають allowance і зменшують експозицію до агрегаторів. Маркетмейкери можуть розширити спреди, а провайдери ліквідності можуть вивести кошти з ризикових пулів, збільшуючи сліппедж і витрати. Довгострокові ефекти: виправлення на рівні протоколу (видалення прямих allowance) і покращені аудити можуть відновити довіру, але повторні інциденти руйнують довіру й утримують підвищену премію за безпековий ризик. Для ETH зокрема: хоча хак включав свап USDC на ETH і бриджинг, широка ринкова ліквідність ETH та різноманітні кейси використання обмежують тривале падіння ціни лише через цю подію; тим не менш очікується короткострокова волатильність і локальний тиск продажів. Загалом, новина пригнічує сентимент щодо інтеграцій агрегаторів і крос‑чейн активності, роблячи ринкові умови обережнішими доти, доки аудиторі та розробники не продемонструють стійкі виправлення.