Des millions disparaissent suite à une faille de sécurité chez Matcha Meta

Comment la faille SwapNet a-t-elle été détectée ?

Le premier rapport, fondé sur des analyses on-chain, a été partagé par PeckShield, révélant qu’environ 16,8 millions de dollars d’actifs avaient été illicitement drainés. Les données ont indiqué que l’attaquant avait échangé 10,5 millions de dollars en USDC sur le réseau Base pour acquérir environ 3 655 ETH, transférés ensuite vers le réseau Ethereum. Le rythme rapide de ces transactions suggérait un scénario d’exploitation automatisée.

Une autre société de sécurité, CertiK, a publié une évaluation antérieure estimant la perte à environ 13,3 millions de dollars. Selon CertiK, la vulnérabilité provenait d’un problème de « call arbitraire » dans le contrat SwapNet, permettant à l’attaquant de transférer des fonds autorisés. L’écart entre les deux rapports s’explique par des transactions supplémentaires détectées lors du bridging et des différences méthodologiques.

Dans sa première réponse, Matcha Meta a affirmé que les comptes utilisant la fonctionnalité One-Time Approval n’étaient pas affectés, seuls ceux autorisant directement les contrats étaient exposés à des risques. Le projet a ainsi limité la portée de l’attaque selon ce cadre.

Autorisation des utilisateurs et impact sur l’industrie

À la suite de l’incident, Matcha Meta a annoncé mener une enquête en collaboration avec l’équipe 0x, précisant que le problème n’était pas lié aux contrats AllowanceHolder ou Settler de 0x. Le communiqué souligne que donner une autorisation directe à des contrats agrégateurs individuels posait des risques supplémentaires pour les utilisateurs. Par conséquent, l’option d’autorisation directe a été supprimée afin de prévenir de futures occurrences similaires.

Bien que Matcha Meta n’ait pas encore publié de nouvelle mise à jour de statut, l’industrie dans son ensemble s’inquiète de la montée des attaques. Selon les données de Chainalysis, les vols de cryptomonnaies ont dépassé 3,41 milliards de dollars en 2025. Une seule attaque sur Bybit, s’élevant à 1,5 milliard de dollars, représente près de la moitié des pertes annuelles.

Les experts estiment que l’affaire Matcha Meta met en lumière la nécessité d’aligner les mécanismes d’autorisation, conçus pour améliorer l’expérience utilisateur, avec des architectures de sécurité robustes. À mesure que les bridges cross-chain et les contrats agrégateurs se généralisent, la surface d’attaque s’élargit, intensifiant les débats sur la manière dont les risques sont transférés aux utilisateurs finaux.