Denne siden er kun til informasjonsformål. Enkelte tjenester og funksjoner er kanskje ikke tilgjengelige i din jurisdiksjon.

Meta Pool Exploit: How $27M in mpETH Was Minted but Only $132K Stolen

News FeederNews Feeder
Publisert 18. juni 2025
Oppdaterte den 18. juni 2025
3min lest
ETH−0,23 %

Understanding the Meta Pool Exploit: What Happened?

On June 17, 2025, Meta Pool, a multi-chain liquid staking protocol operating on Ethereum, fell victim to a smart contract exploit. The attacker leveraged a vulnerability in the ERC4626 function to mint 9,705 mpETH tokens worth approximately $27 million without depositing any collateral. Despite the scale of the exploit, the hacker managed to extract only 52.5 ETH (valued at $132,000) due to low liquidity in the affected pools.

The Role of mpETH and Flash Unstaking in the Exploit

mpETH, Meta Pool’s liquid staking token, is designed to represent staked Ethereum while offering liquidity and yield. The exploit targeted the protocol’s “fast unstake functionality,” which bypasses the typical waiting period for unstaking under specific conditions. This mechanism allowed the attacker to mint mpETH tokens freely, exploiting a critical bug in the staking contract.

Key Details of the Attack

  • Vulnerability: The ERC4626 function allowed unauthorized token creation.

  • Liquidity Constraints: Low liquidity in swap pools limited the hacker’s ability to convert mpETH into ETH.

  • Affected Pools: Ethereum mainnet and Optimism pools were impacted, but the low liquidity minimized losses.

Early Detection and Damage Control

Meta Pool’s early detection systems played a crucial role in mitigating the attack. Upon identifying suspicious activity, the team promptly paused the affected smart contract, preventing further unauthorized minting and additional losses. Blockchain security firm PeckShield confirmed the exploit and noted that the low liquidity of mpETH restricted the hacker’s profit.

Official Response

Meta Pool assured users that all staked Ethereum remains secure, delegated to SSV Network operators for block validation and staking rewards. The team has promised to reimburse affected users and is conducting a full post-mortem analysis to identify the root cause and implement a recovery plan.

Broader Implications for DeFi Security

This incident highlights persistent vulnerabilities in decentralized finance (DeFi) protocols, particularly in token minting mechanisms. Similar exploits have occurred in other protocols, such as Four.Meme and Rari Capital, underscoring the need for rigorous audits and robust security measures.

Lessons Learned

  • Smart Contract Audits: Comprehensive audits are essential to identify and fix vulnerabilities before deployment.

  • Live Monitoring: Real-time detection systems can significantly reduce the impact of exploits.

  • Liquidity Management: Ensuring adequate liquidity in pools can mitigate the financial damage from attacks.

What’s Next for Meta Pool?

While the affected mpETH contract remains paused, Meta Pool is expected to release a detailed post-mortem report and recovery plan. Users are advised to monitor official updates and exercise caution when interacting with the protocol.

FAQs

What is mpETH?

mpETH is Meta Pool’s liquid staking token, representing staked Ethereum while providing liquidity and yield.

Is my staked Ethereum safe?

Yes, Meta Pool has confirmed that all staked Ethereum is secure and continues to accrue rewards.

What caused the exploit?

The exploit was due to a vulnerability in the ERC4626 function, which allowed unauthorized token creation.

Will affected users be reimbursed?

Meta Pool has pledged to reimburse users for assets lost in the incident.

Conclusion

The Meta Pool exploit serves as a stark reminder of the importance of security in DeFi protocols. While the financial impact was limited, the incident underscores the need for continuous audits, robust monitoring systems, and proactive liquidity management. As the DeFi space evolves, protocols must prioritize user safety and transparency to maintain trust and drive adoption.

Ansvarsfraskrivelse
Dette innholdet leveres kun til informasjonsformål og kan omhandle produkter som ikke er tilgjengelige i din region. Det er ikke ment å utgjøre (i) investeringsrådgivning eller en investeringsanbefaling, (ii) et tilbud eller en oppfordring til å kjøpe, selge eller hold krypto/digitale aktiva, eller (iii) finansiell, regnskapsmessig, juridisk eller skattemessig rådgivning. Holding av krypto/digitale aktiva, inkludert stablecoins, innebærer en høy grad av risiko og kan svinge betydelig. Du bør nøye vurdere om trading eller holding av krypto/digitale aktiva er egnet for deg i lys av din økonomiske situasjon. Ta kontakt med din juridiske/skattemessige/investeringsrådgiver for spørsmål om dine spesifikke omstendigheter. Informasjon (inkludert markedsdata og statistisk informasjon, om noen) som fremgår av dette innlegget er kun for generelle informasjonsformål. Selv om det er utvist all rimelig aktsomhet ved utarbeidelsen av disse dataene og grafene, påtas det intet ansvar for eventuelle faktafeil eller utelatelser som er kommet til uttrykk her.

Digitale aktiva er utsatt for volatilitet og er ikke forsikret. Ikke finansiell/investeringsrådgivning. Ikke alle produkter og tjenester tilbys i alle regioner. Unntak og vilkår og betingelser gjelder.

© 2026 OKX. Denne artikkelen kan gjengis eller distribueres i sin helhet, eller utdrag på 100 ord eller mindre av denne artikkelen kan brukes, forutsatt at slik bruk er ikke-kommersiell. Enhver gjengivelse eller distribusjon av hele artikkelen må også tydelig angi: «Denne artikkelen er © 2026 OKX og brukes med tillatelse.» Tillatte utdrag må sitere navnet på artikkelen og inkludere kildehenvisning, for eksempel «Artikkelnavn, [forfatternavn hvis aktuelt], © 2026 OKX.» Noe innhold kan være generert eller assistert av verktøy for kunstig intelligens (AI). Ingen bearbeidelser eller annen bruk av denne artikkelen er tillatt.