В воскресенье, 25 января 2026 года, децентрализованный агрегатор ликвидности Matcha Meta сообщил о серьёзной компрометации одного из своих ключевых провайдеров — протокола SwapNet. Злоумышленник воспользовался уязвимостью в смарт-контракте SwapNet и похитил от $13,3 млн до $16,8 млн цифровых активов, в основном конвертировав USDC в Ether и начав вывод средств на основную сеть Ethereum.
⚠️ Пользователям настоятельно рекомендуется немедленно отозвать все аппрувы (approvals), выданные контракту SwapNet, чтобы предотвратить дальнейшие потери.
Согласно данным компаний CertiK и PeckShield, эксплуатация была возможна из-за произвольного вызова (arbitrary call) в маршрутизаторе SwapNet. Эта уязвимость позволила злоумышленнику выполнить несанкционированные трансферы любых токенов, ранее одобренных пользователями для обмена через этот контракт.
PeckShield уточнил, что атакующий:
«Код — это закон. Но если код содержит дыру, то закон становится приглашением к краже», — Ник Сабо, пионер смарт-контрактов.
Команда Matcha Meta подчеркнула, что инфраструктура самого агрегатора не была скомпрометирована — уязвимость находилась исключительно в контракте SwapNet, одного из внешних провайдеров ликвидности. Тем не менее, поскольку пользователи взаимодействовали с SwapNet через интерфейс Matcha, последствия затронули всю экосистему.
Официальное заявление содержало срочный призыв:
«Если вы когда-либо давали разрешение (approval) контракту SwapNet, отзовите его немедленно через такие сервисы, как Revoke.cash или Etherscan».
По данным годового отчёта SlowMist, уязвимости в смарт-контрактах стали главной причиной хакерских атак в 2025 году — на их долю пришлось 30,5% всех инцидентов (56 случаев). Это опережает даже компрометацию аккаунтов и фишинг (24%).
Инцидент с SwapNet стал уже вторым крупным взломом в январе 2026 года: ранее, 8 января, протокол Truebit потерял $26 млн из-за аналогичной ошибки в логике контракта.
Интересно, что в декабре 2025 года коммерческие ИИ-агенты (включая GPT-5, Claude Opus 4.5 и Sonnet 4.5) самостоятельно обнаружили уязвимости в существующих протоколах на сумму $4,6 млн. Это означает, что как хакеры, так и защитники всё чаще используют ИИ для поиска слабых мест — но пока атакующие действуют быстрее.
Если вы когда-либо использовали SwapNet — даже через сторонний интерфейс — примите следующие меры:
Инцидент с SwapNet подчёркивает фундаментальную проблему DeFi: чем сложнее композиция протоколов, тем выше риск цепной реакции. Агрегаторы, такие как Matcha Meta, полагаются на десятки внешних маршрутизаторов, и один слабый звено может поставить под угрозу миллионы долларов.
Эксперты прогнозируют сдвиг в сторону:
Пока же — главная защита остаётся за пользователем. В мире DeFi доверие должно быть временным, ограниченным и постоянно пересматриваемым.
