SwapNet遭攻击损失1700万美元，DEX聚合器授权机制再成安全隐患

Theo tin tức vào ngày 26 tháng 1, SwapNet, một công cụ tổng hợp sàn giao dịch phi tập trung trên chuỗi, đã phải hứng chịu một cuộc tấn công hợp đồng thông minh lớn và khoảng 16,8 triệu đô la tài sản tiền điện tử đã bị đánh cắp, khiến rủi ro bảo mật DeFi trở thành tâm điểm trở lại. Cơ quan bảo mật blockchain PeckShield tiết lộ rằng cuộc tấn công có liên quan đến hợp đồng định tuyến SwapNet được gọi thông qua Matcha Meta, một công cụ tổng hợp meta được phát triển bởi nhóm 0x.

Cuộc tấn công xảy ra trên mạng Base, nơi tin tặc lần đầu tiên trao đổi khoảng 10,5 triệu đô la USDC lấy khoảng 3.655 ETH và sau đó kết nối tiền với mạng chính Ethereum. Phương pháp “chuyển chuỗi chéo” này thường được sử dụng để kéo dài đường dẫn theo dõi và tăng độ khó của việc đóng băng và thu hồi tiền.

Matcha Meta sau đó đã làm rõ rằng hệ thống cốt lõi của họ không bị xâm phạm và những người dùng bị ảnh hưởng chủ yếu là những người đã tắt cơ chế ủy quyền một lần 0x. Tính năng bảo mật này ban đầu nhằm hạn chế quyền truy cập liên tục của hợp đồng vào tài sản của người dùng, nhưng một số người dùng đã chọn vô hiệu hóa nó để cải thiện sự tiện lợi trong giao dịch, do đó ủy quyền trực tiếp cho các hợp đồng tổng hợp cơ bản, bao gồm cả bộ định tuyến của SwapNet. Chính lối vào này bị những kẻ tấn công khai thác.

Matcha Meta cho biết họ đã làm việc song song với nhóm SwapNet và các hợp đồng liên quan đã tạm thời bị đình chỉ, đồng thời kêu gọi người dùng ngay lập tức thu hồi tất cả các ủy quyền tổng hợp theo khuôn khổ ủy quyền không một lần, đặc biệt là hợp đồng bộ định tuyến của SwapNet, để tránh rủi ro thêm.

Sự cố này một lần nữa phơi bày mâu thuẫn lâu đời giữa “tiện lợi và bảo mật” trong DeFi. Mặc dù ủy quyền một lần làm tăng các bước hoạt động, nhưng nó có thể làm giảm đáng kể khả năng trộm cắp liên tục; Mặc dù ủy quyền không giới hạn giúp cải thiện hiệu quả giao dịch, nhưng nó khuếch đại tổn thất khi hợp đồng bị vi phạm.

Đồng thời, cũng xảy ra sự cố lỗ hổng liên quan đến các hợp đồng mã nguồn đóng, chưa được xác minh trên mainnet Ethereum cùng ngày, ảnh hưởng đến khoảng 37 WBTC, càng khuếch đại thêm lo ngại của thị trường về tính minh bạch của hợp đồng và cơ chế kiểm toán. SwapNet vẫn chưa công bố liệu họ có bồi thường cho người dùng hay không, nhưng có thể thấy trước rằng việc giám sát bảo mật xung quanh các công cụ tổng hợp DEX và các mô hình ủy quyền sẽ tăng cường đáng kể vào năm 2026.