Un agregador de intercambio descentralizado (DEX) llamado SwapNet perdió activos criptográficos por un valor de aproximadamente 16.8 millones de dólares, debido a que un contrato de enrutador comprometido que había recibido permisos de aprobación de tokens persistentes fue explotado por un atacante, incluso después de que los usuarios desactivaran las funciones de seguridad clave.
¿Qué pasó?: Explotación del agregador DEX
La empresa de seguridad PeckShield informó que este ataque estaba dirigido a las actividades vinculadas a SwapNet accesibles a través de Matcha Meta, un agregador de DEX construido por el equipo de 0x. Esta vulnerabilidad apuntó a los usuarios que rechazaron el uso del sistema de Aprobación Única (One-Time Approval) de 0x y otorgaron permisos directamente al contrato del agregador subyacente.
En la red Base, el atacante intercambió aproximadamente 10.5 millones de dólares en USDC (USDC) por aproximadamente 3,655 ETH (ETH) y luego los trasladó a la red principal de Ethereum (ETH).
Este tipo de enfoque es una táctica típica que se utiliza con frecuencia para dificultar el seguimiento.
“Estamos al tanto del incidente relacionado con SwapNet que pudo haber expuesto a los usuarios que utilizan aprobaciones de un solo uso”, declaró Matcha Meta. La plataforma identificó el contrato de ruta de SwapNet (0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e) como el objetivo que los usuarios necesitan urgentemente desaprobar.
Artículo relacionado: Los fiscales surcoreanos pierden $47M en Bitcoin incautado debido a un ataque de phishing.
¿Por qué es importante: vulnerabilidades recurrentes en DeFi?
Este incidente ha vuelto a poner de relieve la tensión fundamental entre la conveniencia y la seguridad en las finanzas descentralizadas (DeFi). La aprobación de un solo uso requiere aprobaciones individuales para cada transacción, lo que reduce la superficie de ataque continua, pero causa inconvenientes a los usuarios que realizan transacciones frecuentes. Por otro lado, el método de aprobación ilimitada ofrece velocidad de transacción y conveniencia, pero conlleva el riesgo de otorgar acceso continuo a los fondos del usuario en el contrato inteligente.
SwapNet aún no ha publicado un informe de análisis técnico y no ha comentado sobre la compensación a los usuarios afectados.
Ese mismo día, el auditor de seguridad Pashov capturó un exploit separado relacionado con aproximadamente 37 WBTC (WBTC), por un valor de más de 3.1 millones de dólares, en la red principal de Ethereum. Se ha informado que este incidente está relacionado con contratos no verificados y código fuente no público distribuido hace 41 días.
Hace aproximadamente un mes, el hackeo de Trust Wallet conmocionó a la comunidad DeFi.
Trust Wallet ha confirmado que aproximadamente 7 millones de dólares en criptomonedas han sido filtrados. El ataque se llevó a cabo a través de actualizaciones de un malicioso complemento de navegador. Esta violación solo afectó a la versión 2.68 del complemento de Chrome distribuido el 24 de diciembre, y los usuarios de billeteras móviles no se vieron afectados. Changpeng Zhao, fundador de **Binance**, la empresa matriz de Trust Wallet, ha declarado que compensará a todos los usuarios afectados en su totalidad.
Próxima lectura: ¿Por qué las ballenas están comprando Seeker mientras el dinero inteligente vende?
