On-chain-pohjainen hajautettu pörssien aggregaattori SwapNet joutui merkittävän älysopimus-hyökkäyksen kohteeksi, jossa lähes 16,8 miljoonan dollarin edestä krypto-omaisuusvaroja varastettiin.
Tapaus korostaa jatkuvia turvallisuusriskejä, jotka liittyvät token-hyväksyntöihin ja kolmannen osapuolen reitityssopimuksiin hajautetussa rahoituksessa (DeFi).
On-chain DEX-aggregaattori SwapNet kokee 16,8 miljoonan dollarin hyväksikäytön
PeckShield raportoi hyökkääjän kohdistaneen iskun SwapNetiin liittyvään toimintaan, joka oli saavutettavissa Matcha Metan kautta – meta DEX -aggregaattori, jonka on rakentanut 0x-tiimi.
Base-verkossa hyökkääjä vaihtoi noin 10,5 miljoonan dollarin arvosta USDC:tä noin 3 655 ETH:iin, ennen kuin siirsi varat Ethereumiin. Tämä on yleinen taktiikka jäljityksen ja varojen palauttamisen hankaloittamiseksi.
Matcha Meta totesi, että altistuminen ei johtunut sen ydininfrastruktuurista. Kohteeksi joutuneet käyttäjät olivat niitä, jotka olivat kytkeneet pois päältä 0x:n One-Time Approval -järjestelmän, eli turvallisuusominaisuuden, joka rajoittaa jatkuvat token-luvat.
Käyttäjät, jotka poistuivat tästä asetuksesta, myönsivät suorat hyväksynnät alla oleville aggregaattori-sopimuksille, mukaan lukien SwapNetin reititin, jonka kautta hyökkääjä lopulta iski.
”Olemme tietoisia SwapNetiin liittyvästä tapauksesta, jossa käyttäjät ovat saattaneet altistua Matcha Metassa, mikäli One-Time Approvals on ollut pois päältä”, Matcha Meta totesi tiedotteessaan.
Alusta vahvisti tekevänsä yhteistyötä SwapNetin tiimin kanssa. SwapNet on tilapäisesti poistanut käytöstä kohteena olleet sopimukset tutkimusten ajaksi.
Varotoimena Matcha Meta kehotti käyttäjiä peruuttamaan välittömästi hyväksynnät yksittäisille aggregaattoreille, jotka toimivat 0x:n One-Time Approval -järjestelmän ulkopuolella.
Alusta korosti SwapNetin router-sopimusta (0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e) kiireellisimpänä hyväksyntänä, joka on peruttava. Ellei hyväksyntää poisteta, lompakot voivat olla edelleen alttiita, vaikka hyökkäys olisi jo saatu pysäytettyä.
DeFin turvallisuuden kompromissit: helppous vai turvallisuus kasvavien älysopimus-hyökkäysten keskellä
Tapaus kuvastaa perinteistä tasapainottelua DeFi:ssä käytännöllisyyden ja turvallisuuden välillä. One-Time Approval vaatii käyttäjiä hyväksymään jokaisen tapahtuman erikseen, mikä vähentää pysyviä hyökkäyspintoja. Useille kauppiaille tämä tuo kuitenkin ylimääräistä vaivaa.
Rajoittamattomat hyväksynnät ovat nopeampia, mutta antavat älysopimuksille pääsyn käyttäjän varoihin pitkällä aikavälillä. Tästä tulee erityisen riskialtista, jos nämä sopimukset vaarantuvat.
SwapNet ei ole vielä julkaissut kattavaa teknistä selvitystä tai kertonut, korvataanko vahingoittuneille käyttäjille menetykset. Vastuu ja varojen palautus ovat siten vielä avoimia kysymyksiä.
Nopea tiedottamisen puute saattaa lisätä tarkastelua hyväksyntäkäytäntöihin ja aggregaattorien integrointeihin koko DeFi-ekosysteemissä.
Uusi Ethereum-käyttöhyökkäys korostaa vahvistamattomien, suljetun lähdekoodin sopimusten riskejä
Hyökkäys tapahtui samanaikaisesti laajempien älysopimus-hyökkäysten ja turvallisuusongelmien kanssa kryptomarkkinoilla.
Samana päivänä tietoturva-auditoija Pashov ilmoitti erillisestä Ethereum-pääverkon hyökkäyksestä, jossa noin 37 WBTC:tä, yli 3,1 miljoonan dollarin arvosta, varastettiin.
Kyseessä oli suljetun lähdekoodin ja vahvistamattoman sopimuksen tekemä hyökkäys, joka oli otettu käyttöön vain 41 päivää aiemmin. Sopimus sisälsi vain konekielistä bytekoodia, mikä esti julkisen tarkastuksen.
Nämä tapaukset korostavat, että DeFi tarjoaa yhä otollisia mahdollisuuksia hyökkääjille. Syitä ovat muun muassa:
- Vahvistamaton koodi
- Jatkuvat hyväksynnät, sekä
- Monimutkaiset reitityskerrokset.
Useista vuosien auditoinneista ja turvallisuuden parantamisesta huolimatta DeFi kamppailee edelleen rakenteellisten haavoittuvuuksien kanssa. Kehittäjien ja käyttäjien on tasapainoteltava käytettävyyden ja riskienhallinnan välillä.
