SwapNet, un aggregatore di exchange decentralizzati, ha perso circa 16,8 milioni di dollari in asset in criptovalute dopo che alcuni aggressori hanno sfruttato un contratto router compromesso, al quale erano state concesse approvazioni token persistenti da parte di utenti che avevano disattivato una funzione di sicurezza chiave.
Cosa è successo: exploit a un DEX Aggregator
La società di sicurezza PeckShield reported l’attacco, che ha preso di mira attività collegate a SwapNet accessibili tramite Matcha Meta, un meta DEX aggregator sviluppato dal team 0x. La vulnerabilità ha interessato gli utenti che avevano rinunciato al sistema di One-Time Approval di 0x, concedendo permessi diretti ai contratti dell’aggregatore sottostante.
Sulla rete Base, l’attaccante ha convertito circa 10,5 milioni di dollari in USDC (USDC) in circa 3.655 Ether (ETH) prima di trasferire i fondi su Ethereum (ETH).
Questa manovra è una tattica comune utilizzata per complicare le attività di tracciamento.
«Siamo a conoscenza di un incidente con SwapNet a cui gli utenti potrebbero essere stati esposti su Matcha Meta, per coloro che hanno disattivato le One-Time Approvals», ha dichiarato Matcha Meta in un comunicato. La piattaforma ha identificato il contratto router di SwapNet (0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e) come l’approvazione più urgente da revocare per gli utenti.
Also Read: South Korean Prosecutors Lose $47M Seized Bitcoin To Phishing Attack
Perché è importante: vulnerabilità DeFi persistenti
L’incidente evidenzia una tensione fondamentale nella finanza decentralizzata tra comodità e sicurezza. Le One-Time Approvals richiedono che gli utenti autorizzino ogni transazione singolarmente, riducendo la superficie di attacco persistente ma aggiungendo frizione per i trader più attivi. Le approvazioni illimitate offrono velocità al costo di concedere ai contratti smart un accesso continuativo ai fondi degli utenti.
SwapNet non ha pubblicato un’analisi tecnica dettagliata né ha indicato se gli utenti colpiti riceveranno un risarcimento.
Lo stesso giorno, l’auditor di sicurezza Pashov ha segnalato un exploit separato sulla mainnet di Ethereum che coinvolgeva circa 37 WBTC (WBTC), per un valore di oltre 3,1 milioni di dollari, collegato a un contratto closed-source e non verificato distribuito appena 41 giorni prima.
Circa un mese fa, la comunità DeFi è stata scossa dall’hack di Trust Wallet.
Trust Wallet confirmed that approximately $7 million in cryptocurrency was stolen tramite un aggiornamento compromesso dell’estensione del browser. La violazione ha interessato solo la versione 2.68 dell’estensione Chrome, rilasciata il 24 dicembre. Fortunatamente, gli utenti del wallet mobile non sono stati colpiti. Changpeng Zhao, fondatore di Binance, che possiede Trust Wallet, ha dichiarato che il wallet avrebbe risarcito tutti gli utenti interessati.
Read Next: Why Are Whales Buying Seeker While Smart Money Sells?