Hàng triệu đô la bốc hơi khi lỗ hổng bảo mật tấn công Matcha Meta

Làm thế nào vụ vi phạm SwapNet được phát hiện?

Báo cáo đầu tiên, dựa trên các phân tích on-chain, được PeckShield công bố, tiết lộ rằng khoảng 16,8 triệu đô la tài sản đã bị rút trái phép. Dữ liệu cho thấy kẻ tấn công đã hoán đổi 10,5 triệu đô la USDC trên mạng Base để lấy khoảng 3.655 ETH và sau đó chuyển chúng sang mạng Ethereum. Tốc độ nhanh chóng của các giao dịch này cho thấy đây là một kịch bản khai thác tự động.

Một công ty an ninh khác, CertiK, đã công bố đánh giá sớm hơn, ước tính mức thiệt hại vào khoảng 13,3 triệu đô la. Theo CertiK, lỗ hổng xuất phát từ vấn đề “arbitrary call” trong hợp đồng SwapNet, cho phép kẻ tấn công chuyển các quỹ đã được ủy quyền. Sự chênh lệch về con số giữa hai báo cáo xuất phát từ các giao dịch bổ sung được phát hiện trong quá trình bridging và sự khác biệt về phương pháp luận.

Trong phản hồi ban đầu, Matcha Meta cho biết các tài khoản sử dụng tính năng One-Time Approval không bị ảnh hưởng, chỉ những tài khoản trực tiếp ủy quyền cho hợp đồng mới gặp rủi ro. Dự án đã giới hạn phạm vi cuộc tấn công dựa trên khung này.

Ủy quyền của người dùng và tác động đến ngành

Sau sự cố, Matcha Meta thông báo đang điều tra sự việc cùng với đội ngũ 0x, đồng thời làm rõ rằng vấn đề không liên quan đến các hợp đồng AllowanceHolder hoặc Settler của 0x. Thông báo nhấn mạnh việc cấp quyền trực tiếp cho các hợp đồng tổng hợp riêng lẻ tiềm ẩn rủi ro bổ sung cho người dùng. Do đó, tùy chọn ủy quyền trực tiếp đã bị loại bỏ để ngăn ngừa các sự cố tương tự.

Ngay cả khi Matcha Meta chưa đưa ra cập nhật tình trạng mới, toàn ngành đang ngày càng lo ngại về làn sóng tấn công gia tăng. Dữ liệu từ Chainalysis cho thấy các vụ trộm tiền mã hóa đã vượt 3,41 tỷ đô la trong năm 2025. Chỉ một vụ tấn công tại Bybit, với con số lên tới 1,5 tỷ đô la, đã chiếm gần một nửa tổng thiệt hại cả năm.

Các chuyên gia cho rằng trường hợp của Matcha Meta nhấn mạnh sự cần thiết phải đồng bộ hóa các cơ chế cấp phép nhằm nâng cao trải nghiệm người dùng với kiến trúc bảo mật vững chắc. Khi bridging cross-chain và các hợp đồng tổng hợp ngày càng phổ biến, bề mặt tấn công mở rộng, làm gia tăng các cuộc thảo luận về cách rủi ro được chuyển giao cho người dùng cuối.