SwapNet wurde angegriffen, Verlust von 17 Millionen US-Dollar, DEX-Aggregator-Authorisierungsmechanismus wird erneut zu einer Sicherheitslücke

Laut Nachrichten vom 26. Januar erlitt SwapNet, ein On-Chain-Aggregator für dezentrale Börsen, einen schweren Smart-Contract-Angriff, und etwa 16,8 Millionen Dollar in Krypto-Vermögenswerten wurden gestohlen, was die DeFi-Sicherheitsrisiken wieder in den Fokus rückte. Die Blockchain-Sicherheitsagentur PeckShield gab bekannt, dass der Angriff mit einem SwapNet-Routing-Vertrag zusammenhing, der über Matcha Meta, einen Meta-Aggregator, entwickelt vom 0x-Team, aufgerufen wurde.

Der Angriff fand im Base-Netzwerk statt, wo Hacker zunächst etwa 10,5 Millionen US-Dollar in USDC gegen ungefähr 3.655 ETH tauschten und die Gelder anschließend zum Ethereum-Hauptnetz überführten. Diese “Cross-Chain-Transfer”-Methode wird häufig verwendet, um den Verfolgungspfad zu verlängern und die Schwierigkeit des Einfrierens und der Rückforderung von Geldern zu erhöhen.

Matcha Meta stellte dann klar, dass sein Kernsystem nicht kompromittiert war und die betroffenen Nutzer hauptsächlich diejenigen waren, die den 0x-Einmalautorisierungsmechanismus deaktiviert hatten. Diese Sicherheitsfunktion sollte ursprünglich den kontinuierlichen Zugriff des Vertrags auf Benutzervermögen einschränken, doch einige Nutzer entschieden sich, sie zu deaktivieren, um die Transaktionsbequemlichkeit zu verbessern, wodurch die zugrunde liegenden Aggregator-Verträge, einschließlich der Routern von SwapNet, direkt autorisiert wurden. Dieser Eingang wird von den Angreifern ausgenutzt.

Matcha Meta erklärte, es habe in Zusammenarbeit mit dem SwapNet-Team gearbeitet und die relevanten Verträge wurden vorübergehend ausgesetzt, und forderte die Nutzer auf, alle Aggregator-Autorisierungen im Rahmen des Nicht-Einmal-Autorisierungsrahmens, insbesondere des Routervertrags von SwapNet, umgehend zu widerrufen, um weitere Risiken zu vermeiden.

Dieser Vorfall offenbarte erneut den langjährigen Widerspruch zwischen “Bequemlichkeit und Sicherheit” in DeFi. Obwohl eine einmalige Genehmigung die Betriebsschritte erhöht, kann sie die Möglichkeit kontinuierlichen Diebstahls erheblich verringern; Obwohl unbegrenzte Autorisierung die Transaktionseffizienz verbessert, verstärkt sie Verluste, wenn der Vertrag gebrochen wird.

Gleichzeitig gab es am selben Tag einen Schwachstellenvorfall im Zusammenhang mit unverifizierten, geschlossenen Verträgen auf dem Ethereum-Mainnet, der etwa 37 WBTC betraf, was die Marktbedenken hinsichtlich Vertragstransparenz und Prüfungsmechanismen weiter verstärkte. SwapNet hat noch nicht bekannt gegeben, ob es die Nutzer entschädigen wird, aber es ist absehbar, dass die Sicherheitskontrolle rund um DEX-Aggregatoren und Autorisierungsmodelle im Jahr 2026 deutlich verstärkt wird.