Milioni svaniscono mentre una violazione della sicurezza colpisce Matcha Meta

Come è stata rilevata la violazione di SwapNet?

Il primo rapporto, basato su analisi on-chain, è stato condiviso da PeckShield, rivelando che circa 16,8 milioni di dollari in asset erano stati sottratti illecitamente. I dati indicavano che l'attaccante aveva scambiato 10,5 milioni di USDC sulla rete Base per acquisire circa 3.655 ETH e successivamente li aveva trasferiti tramite bridge sulla rete Ethereum. La rapidità di queste transazioni suggeriva uno scenario di sfruttamento automatizzato.

Un'altra società di sicurezza, CertiK, ha pubblicato una valutazione precedente stimando la perdita attorno ai 13,3 milioni di dollari. Secondo CertiK, la vulnerabilità derivava da un problema di “arbitrary call” all'interno del contratto SwapNet, che consentiva all'attaccante di trasferire fondi autorizzati. La discrepanza tra le due stime era dovuta a ulteriori transazioni rilevate durante il processo di bridging e a differenze metodologiche.

Nella sua risposta iniziale, Matcha Meta ha affermato che gli account che utilizzavano la funzione One-Time Approval non erano stati colpiti, mentre solo coloro che autorizzavano direttamente i contratti erano esposti a rischi. Il progetto ha quindi limitato la portata dell'attacco in base a tale struttura.

Autorizzazioni degli utenti e impatto sull'industria

In seguito all'incidente, Matcha Meta ha annunciato un'indagine in collaborazione con il team 0x, chiarendo che il problema non era collegato ai contratti AllowanceHolder o Settler di 0x. La dichiarazione ha sottolineato che fornire autorizzazione diretta a singoli contratti aggregatori comportava rischi aggiuntivi per gli utenti. Per questo motivo, l'opzione di autorizzazione diretta è stata rimossa per prevenire il ripetersi di eventi simili.

Anche se Matcha Meta non ha ancora fornito un nuovo aggiornamento sullo stato, l'industria nel suo complesso è sempre più preoccupata per l'aumento degli attacchi. I dati di Chainalysis hanno mostrato che i furti di criptovalute hanno superato i 3,41 miliardi di dollari nel 2025. Un singolo attacco su Bybit, pari a 1,5 miliardi di dollari, ha rappresentato quasi la metà delle perdite annuali.

Gli esperti sostengono che il caso Matcha Meta evidenzia la necessità di allineare i meccanismi di autorizzazione pensati per migliorare l'esperienza utente con architetture di sicurezza robuste. Poiché i bridge cross-chain e i contratti aggregatori diventano sempre più diffusi, la superficie d'attacco si amplia, intensificando il dibattito su come i rischi vengano trasferiti agli utenti finali.