Un piratage massif de contrat intelligent a été identifié sur l'agrégateur de DEX on-chain SwapNet, qui a entraîné le siphonnage d'actifs cryptographiques s'élevant à près de 16,8 millions de dollars.
Peck Shield, une entreprise de sécurité, a été la première à signaler l'attaque, notant une action suspecte sur les intégrations SwapNet de la plateforme, qui peuvent être trouvées via Matcha Meta, une plateforme méta-agrégateur de DEX conçue par l'équipe 0x. Sur le réseau Base, le pirate a échangé 10,5 millions de dollars en jetons USDC contre environ 3 655 Ether. L'attaquant a ensuite ponté les fonds vers le réseau Ethereum, ce qui peut être compliqué à suivre et à tracer.
Matcha Meta a cependant expliqué que le bogue ne provenait même pas de sa pile principale. Le problème pour les utilisateurs a commencé lorsqu'ils ont désactivé la propre fonctionnalité de 0x, appelée "Approbation Unique", conçue pour restreindre les autorisations des jetons. En la désactivant, les utilisateurs ont involontairement autorisé des approbations directes, plutôt que de les restreindre, même pour les contrats d'agrégation sous-jacents comme le routeur de SwapNet, utilisé par cet attaquant.
Matcha Meta l'a reconnu publiquement et a déclaré avoir collaboré avec l'équipe SwapNet. SwapNet avait mis en pause les contrats intelligents pour contenir les dégâts et identifier le chemin d'exploitation pour leur enquête.
Les paramètres d'approbation sous surveillance
La plateforme a exhorté les utilisateurs à révoquer immédiatement les approbations accordées en dehors du cadre d'Approbation Unique. Elle a mis en évidence le contrat routeur de SwapNet comme une cible prioritaire de révocation. Sans intervention, les portefeuilles seraient restés exposés même après l'arrêt de l'exploit.
Cette situation met en lumière un compromis important inhérent aux applications DeFi. Avec les Approbations Uniques, chaque transaction doit être autorisée séparément. Cela aide bien sûr à réduire les permissions mais introduit aussi des frictions. En revanche, les approbations illimitées facilitent les transactions fluides mais accordent aux contrats un accès persistant aux fonds. Lorsque des attaquants compromettent un contrat, ces autorisations permanentes deviennent un risque direct.
SwapNet n'a pas encore publié de post-mortem technique détaillé. L'équipe n'a pas non plus confirmé si elle indemniserait les utilisateurs affectés. Ce manque de clarté ajoute une pression sur les plateformes d'agrégation pour améliorer la transparence et resserrer les normes d'intégration.
Modèle plus large des risques des contrats intelligents
L'exploit de SwapNet ne s'est pas produit isolément. En fait, le même jour, un autre exploit Ethereum a été repéré par Pashov, un auditeur de sécurité, où environ 37 WBTC, d'une valeur de plus de 3,1 millions de dollars, ont été volés. L'exploit ciblait un code closed-source et non vérifié déployé seulement quelques semaines auparavant. En fait, ce code n'exposait que le bytecode, et il était difficile de l'évaluer facilement.
Toutes ces attaques créent un sentiment de paysage de menace topologique sur les protocoles DeFi, spécifiquement autour des codes non vérifiés, des approbations continues de jetons et des couches de routage complexes connectant divers protocoles. Clairement, malgré des audits améliorés et de meilleurs outils, les acteurs de la menace continuent d'exploiter l'optimisation de conception et les angles morts d'intégration.
Alors que la DeFi devient plus interconnectée, les développeurs doivent renforcer les systèmes d'approbation et réduire les hypothèses de confiance cachées. Pendant ce temps, les utilisateurs doivent gérer activement les permissions et comprendre les implications en matière de sécurité des fonctionnalités de commodité. L'exploit de SwapNet montre que de petits choix de configuration peuvent avoir des conséquences de plusieurs millions de dollars.
Actualité cryptographique en vedette :
Le Japon vise une première approbation d'ETF cryptographiques d'ici 2028
