SwapNetは分散型取引所（DEX）アグリゲーターであり、ユーザーが重要なセキュリティ機能を無効化した結果、攻撃者に永続的なトークン承認が与えられていた侵害済みルーターコントラクトを悪用され、約1,680万ドル相当の暗号資産を失いました。
何が起きたのか：DEXアグリゲーターへの攻撃
セキュリティ企業PeckShieldは、0xチームが開発したメタDEXアグリゲーターであるMatcha Metaを通じてアクセスできる、SwapNet関連の取引を標的とした攻撃を報告しました。
この脆弱性は、0xのワンタイム承認（One-Time Approval）システムをオプトアウトし、基盤となるアグリゲーターコントラクトに直接権限を付与していたユーザーに影響しました。
Baseネットワーク上で、攻撃者は約1,050万ドル相当のUSDC (USDC) をおよそ3,655 Ether (ETH) に交換した後、資金をEthereum (ETH) にブリッジしました。
こうした手口は、追跡を困難にするためによく用いられる一般的な戦術です。
「ワンタイム承認をオフにしたユーザーがMatcha Meta上でSwapNetにさらされる可能性があるインシデントを把握しています」とMatcha Metaは声明で述べました。
プラットフォームは、ユーザーが最優先で承認取り消しを行うべき対象として、SwapNetのルーターコントラクト（0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e）を特定しました。
関連記事： South Korean Prosecutors Lose $47M Seized Bitcoin To Phishing Attack
なぜ重要なのか：続くDeFiの脆弱性
今回の事件は、分散型金融（DeFi）における「利便性」と「セキュリティ」の根本的なトレードオフを浮き彫りにしています。
ワンタイム承認では、ユーザーはトランザクションごとに個別に承認を行う必要があり、永続的な攻撃面を減らせる一方で、頻繁に取引を行うユーザーには手間が増えます。
一方、無制限承認は取引を高速化できるものの、スマートコントラクトにユーザー資金への継続的なアクセス権を与えることになり、攻撃リスクが高まります。
SwapNetは、技術的な事後分析（ポストモーテム）を公開しておらず、被害ユーザーへの補償の有無についても明らかにしていません。
同じ日に、セキュリティ監査人のPashovは、約37 WBTC (WBTC) （3,100万ドル超に相当）が関与する、別のEthereumメインネットの攻撃を指摘しました。
これは、41日前にデプロイされたばかりのクローズドソースかつ未検証のコントラクトに関連していました。
およそ1か月前には、DeFiコミュニティはTrust Walletのハッキング事件に衝撃を受けました。
Trust Walletは、約700万ドル相当の暗号資産が盗まれたことを認めました が、その原因は改ざんされたブラウザ拡張機能のアップデートでした。
影響を受けたのは、12月24日にリリースされたChrome拡張機能のバージョン2.68のみであり、モバイルウォレットのユーザーは被害を受けませんでした。
Trust Walletを保有するBinanceの創業者Changpeng Zhaoは、被害を受けたすべてのユーザーに補償を行うと述べています。