Matcha Meta afectada por el hackeo del contrato inteligente SwapNet de $16.8M

Introducción El domingo, Matcha Meta divulgó que una brecha de seguridad vinculada a uno de sus principales proveedores de liquidez, SwapNet, comprometió a los usuarios que habían otorgado permisos a su contrato de enrutamiento. El incidente subraya cómo los componentes con permisos dentro de los ecosistemas de exchanges descentralizados pueden convertirse en vectores de ataque incluso cuando la infraestructura principal permanece intacta. Las evaluaciones públicas tempranas sitúan las pérdidas en un rango de aproximadamente 13 millones de dólares a 17 millones de dólares, con la actividad en cadena centrada en la red Base y movimientos entre cadenas hacia Ethereum. La divulgación provocó solicitudes a los usuarios para revocar permisos y aumentó el escrutinio sobre cómo se protegen los contratos inteligentes expuestos a enrutadores externos.

Puntos clave

La brecha se originó a través del contrato de enrutamiento de SwapNet, lo que llevó a una llamada urgente para que los usuarios revocaran permisos y evitar pérdidas adicionales.

Las estimaciones de los fondos robados varían: CertiK reportó unos 13,3 millones de dólares, mientras que PeckShield calcula al menos 16,8 millones de dólares en la red Base.

En Base, el atacante intercambió aproximadamente 10,5 millones de USDC por unos 3,655 ETH y comenzó a transferir fondos a Ethereum.

CertiK atribuyó la vulnerabilidad a una llamada arbitraria en el contrato 0xswapnet, que permitió al atacante transferir fondos ya aprobados a él.

Matcha Meta indicó que la exposición estaba vinculada a SwapNet y no a su propia infraestructura, y los funcionarios aún no han proporcionado detalles sobre compensaciones o salvaguardas.

Las debilidades en contratos inteligentes siguen siendo el principal motor de exploits en criptomonedas, representando el 30,5% de los incidentes en 2025, según el informe anual de seguridad de SlowMist.

Menciones de tickers

Tickers mencionados: Crypto → USDC, ETH, TRU

Sentimiento

Sentimiento: Neutral

Impacto en el precio

Impacto en el precio: Negativo. La brecha resalta los riesgos de seguridad en DeFi y puede influir en el sentimiento de riesgo respecto a la provisión responsable de liquidez y la gestión de permisos.

Idea de trading (No es asesoramiento financiero)

Idea de trading (No es asesoramiento financiero): Mantener. El incidente es específico a una vía de permisos de enrutador y no implica directamente un riesgo sistémico mayor para todos los protocolos DeFi, pero requiere precaución en la gestión de permisos y liquidez entre cadenas.

Contexto del mercado

Contexto del mercado: El evento llega en medio de una mayor atención a la seguridad en DeFi y la actividad entre cadenas, donde los proveedores de liquidez y agregadores dependen cada vez más de componentes modulares. También se sitúa en un contexto de discusiones en evolución sobre gobernanza en cadena, auditorías y la necesidad de salvaguardas robustas, ya que los protocolos de primera línea y nuevos participantes compiten por la confianza de los usuarios.

Por qué importa

Por qué importa

Los incidentes de seguridad en agregadores DeFi ilustran los riesgos persistentes que surgen cuando múltiples capas de protocolos interactúan. En este caso, la brecha se atribuyó a una vulnerabilidad en el contrato de enrutamiento de SwapNet en lugar de a la arquitectura central de Matcha Meta, lo que subraya cómo la confianza se distribuye en componentes asociados en un ecosistema componible. Para los usuarios, el episodio sirve como recordatorio para revisar y revocar permisos de tokens regularmente, especialmente tras sospechas de actividad anormal en cadena.

El impacto financiero, aunque aún en evolución, refuerza la importancia de una evaluación rigurosa de los proveedores de liquidez externos y la necesidad de monitoreo en tiempo real de los flujos de permisos. Que los atacantes hayan podido convertir una parte sustancial de los fondos robados en stablecoins y luego transferir activos a Ethereum resalta la dinámica entre cadenas que complica la trazabilidad y las reparaciones posteriores al incidente. Los exchanges y los investigadores de seguridad enfatizan el valor de permisos granulares, con límites temporales y capacidades de revocación temprana para limitar el radio de impacto de tales exploits.

Desde una perspectiva de mercado, el episodio se suma a una narrativa más amplia sobre la fragilidad de las finanzas sin permisos y la carrera por implementar salvaguardas robustas y auditables en las capas de los ecosistemas DeFi. Aunque no es un juicio sistémico contra Matcha Meta, el incidente intensifica las llamadas a auditorías de seguridad estandarizadas en contratos de enrutamiento y a una mayor responsabilidad en los módulos de terceros que interactúan con fondos de usuarios.

Qué observar a continuación

Qué observar a continuación

Las actualizaciones oficiales de Matcha Meta sobre la causa raíz y cualquier plan de remediación o compensación para los usuarios afectados.

Cualquier auditoría externa o revisión de terceros del contrato de enrutamiento de SwapNet y cambios en gobernanza para prevenir reocurrencias.

Monitoreo en cadena de la actividad del puente Base a Ethereum relacionada con este incidente y los movimientos de fondos subsecuentes.

Desarrollos regulatorios y de estándares de la industria en torno a la seguridad en DeFi, particularmente en marcos de auditoría de contratos inteligentes y controles de permisos de usuarios.

Fuentes y verificación

Publicación de Matcha Meta en X advirtiendo a los usuarios que revocaran permisos de SwapNet tras la brecha.

Asesoría de CertiK identificando la explotación como resultado de una llamada arbitraria en el contrato 0xswapnet que permitió transferir fondos aprobados.

Actualización de PeckShield señalando aproximadamente 16,8 millones de dólares drenados en Base, incluyendo el intercambio de USDC por ETH y la transferencia a Ethereum.

Informe anual de SlowMist sobre Seguridad en Blockchain y AML 2025, detallando la proporción de incidentes por categoría, incluyendo 30,5% atribuibles a vulnerabilidades en contratos inteligentes y 24% a compromisos de cuentas.

Cobertura de Cointelegraph sobre el incidente de Truebit, incluyendo una pérdida de 26 millones de dólares y la caída del token TRU, para un contexto más amplio sobre la exposición al riesgo en contratos inteligentes.

Cuerpo del artículo reescrito

Brecha de seguridad en Matcha Meta subraya los riesgos de contratos inteligentes en ecosistemas DEX

En el último ejemplo de cómo DeFi puede ser comprometido desde dentro, Matcha Meta divulgó que ocurrió una brecha de seguridad a través de una de sus principales vías de provisión de liquidez—el contrato de enrutamiento de SwapNet. La consecuencia para los usuarios es la revocación de permisos de tokens, que el protocolo instó explícitamente en su publicación pública. La brecha no pareció originarse en la infraestructura central de Matcha Meta, indicaron, sino en una vulnerabilidad en la capa de enrutamiento de un socio que otorgaba permisos para mover fondos en nombre de los usuarios.

Las estimaciones tempranas de los investigadores en seguridad sitúan el impacto financiero en un rango ajustado. CertiK cuantificó las pérdidas en unos 13,3 millones de dólares, mientras que PeckShield reportó una cifra mínima mayor, de 16,8 millones de dólares en la red Base. La discrepancia refleja diferentes métodos de contabilidad en cadena y momentos de revisiones post-incidente, pero ambos análisis confirman una pérdida significativa vinculada a la funcionalidad del contrato de enrutamiento de SwapNet. En Base, el atacante intercambió aproximadamente 10,5 millones de USDC por unos 3,655 ETH y comenzó a transferir los fondos hacia Ethereum, según el boletín de PeckShield publicado en X.

Hasta ahora, se han drenado aproximadamente 16,8 millones de dólares en cripto. En Base, el atacante intercambió ~10,5 millones de USDC por ~3,655 ETH y ha comenzado a transferir fondos a Ethereum.

La evaluación de CertiK ofrece una explicación técnica del exploit: una llamada arbitraria en el contrato 0xswapnet permitió al atacante retirar fondos que los usuarios ya habían aprobado, evadiendo así un robo directo del pool de liquidez de SwapNet y aprovechando los permisos otorgados al enrutador. Esta distinción es importante porque apunta a una falla en la gobernanza o en el diseño a nivel de integración, en lugar de una brecha en la custodia o controles de seguridad propios de Matcha Meta.

Matcha Meta reconoció que la exposición está vinculada a SwapNet y no atribuyó la vulnerabilidad a su propia infraestructura. Los intentos de obtener comentarios sobre mecanismos de compensación o salvaguardas no fueron respondidos de inmediato, dejando a los usuarios afectados sin una vía clara de remediación a corto plazo. El incidente ilustra un perfil de riesgo más amplio para los agregadores DeFi: cuando las asociaciones introducen nuevas interfaces de contrato, los atacantes pueden dirigirse a flujos con permisos que se sitúan en la intersección de aprobaciones de usuario y transferencias automáticas de fondos.

El panorama de seguridad en cripto sigue siendo peligrosamente precario. En 2025, las vulnerabilidades en contratos inteligentes fueron la principal causa de exploits en cripto, representando el 30,5% de los incidentes y 56 eventos en total, según el informe anual de SlowMist. Esta participación destaca cómo incluso proyectos sofisticados pueden verse afectados por errores en casos límite o configuraciones incorrectas en el código que regula transferencias automáticas de valor. Las compromisos de cuentas y las cuentas sociales comprometidas (como los perfiles de X de las víctimas) también representaron una porción significativa de los incidentes, subrayando la naturaleza multivector de las herramientas de los atacantes.

Más allá de los aspectos técnicos, el incidente alimenta un discurso creciente sobre el uso de inteligencia artificial en la seguridad de contratos inteligentes. Informes de diciembre señalaron que agentes de IA comerciales descubrieron aproximadamente 4,6 millones de dólares en exploits en cadena en tiempo real, utilizando herramientas como Claude Opus 4.5, Claude Sonnet 4.5 y GPT-5 de OpenAI. La aparición de técnicas de sondeo y explotación habilitadas por IA añade una capa de complejidad a la evaluación de riesgos para auditores y operadores. Este panorama en evolución refuerza la necesidad de monitoreo continuo, revocación rápida de permisos y medidas defensivas adaptables en los ecosistemas DeFi.

Dos semanas antes del incidente de SwapNet, otro exploit de contrato inteligente de alto perfil resultó en pérdidas de 26 millones de dólares para el protocolo Truebit, seguido de una fuerte caída en el precio del token TRU. Tales episodios subrayan que la capa de contratos inteligentes sigue siendo una de las principales superficies de ataque para hackers, incluso cuando otros ámbitos del cripto—custodia, infraestructura central y componentes fuera de cadena—también enfrentan amenazas persistentes. La temática recurrente es que la gestión del riesgo debe extenderse más allá de auditorías y programas de recompensas por errores, incluyendo gobernanza en vivo, monitoreo en tiempo real y prácticas prudentes de los usuarios en permisos y movimientos entre cadenas.

A medida que el mercado digiere las implicaciones, los observadores enfatizan que el camino hacia la resiliencia en DeFi depende de salvaguardas en capas y respuestas transparentes a incidentes. Aunque la vulnerabilidad de SwapNet parece aislada a una integración particular, el incidente refuerza una lección central: incluso socios confiables pueden introducir riesgos sistémicos si sus contratos interactúan con fondos de usuarios de maneras que evaden las salvaguardas estándar. El registro en cadena continuará desarrollándose a medida que investigadores, Matcha Meta y sus socios de liquidez realicen revisiones forenses y determinen si los afectados recibirán compensación o mejoras en los controles de riesgo para prevenir incidentes similares en el futuro.

Este artículo fue publicado originalmente como Matcha Meta Hit by $16.8M SwapNet Smart Contract Hack en Crypto Breaking News – tu fuente confiable para noticias de cripto, noticias de Bitcoin y actualizaciones de blockchain.