据区块链安全公司SlowMist报告，一名去中心化金融（DeFi）攻击者利用MALT协议swap函数中的缺陷，从该协议中窃取了约7.2万美元。

攻击者仅提供了少量输入便触发了存在缺陷的swap，随后获得了超出该交易本应允许范围的MALT。SlowMist表示，此次攻击涉及MALT国库提供的$DAI，使攻击者得以直接从协议中提取资金。

🚨SlowMist TI Alert🚨
💸 MALT Loss: ~$72k
🔍 Root Cause: swap(uint256,uint256,address) records the caller's input and pre-swap reserves, then invokes an external rebalanceHook before transferring the requested output. The hook withdraws $DAI from the Capital Source and deposits…

— SlowMist (@SlowMist_Team) October 3, 2026

swap缺陷使攻击者得以盗取国库资金

据SlowMist介绍，该缺陷影响MALT的swap(uint256,uint256,address)函数。该函数在调用外部再平衡钩子之前，会记录交易者的输入和流动性池swap前的储备。

随后，该钩子从MALT的国库资金源中提取$DAI并存回流动性池。因此，swap在执行有效性检查时，将国库提供的$DAI视为交易者提供的资金。

这意味着攻击者只需提供极少的输入，便可利用由协议自身出资的流动性。SlowMist指出，该缺陷还未能将用户资金与再平衡期间注入的资金适当分离。

此次事件表明，DeFi漏洞可能源自自定义组件之间的交互，而非仅仅来自swap机制本身。由于再平衡钩子在swap进行过程中将国库资金转入流动性池，协议自有流动性得以满足本应验证交易者输入的检查——当用户资金与协议自有资金共享同一记账路径时，便会出现此类漏洞。

MALT攻击事件令DeFi损失进一步扩大

MALT事件发生前，针对DeFi项目的一系列攻击接连出现。

$NEAR Intents在10月1日发生造成约380万美元损失的攻击后暂停了服务。该团队表示已修复合约缺陷，并将全额补偿受影响用户。

Earlier today $NEAR Intents services were stopped after a security incident was detected. The incident was caused by a bug in the Omni deposit and withdrawal infrastructure interaction with $NEAR Intents smart contract. The preliminary report indicates the total loss of…

— $NEAR Intents (@near_intents) October 1, 2026

此外，一次FlashLoopAdapter攻击从两个持有Aave V3头寸的Safe钱包中窃取了约30.5万美元。不过，此次攻击针对的是自定义适配器模块，而非Aave V3的核心合约。

与MALT的攻击事件类似，FlashLoopAdapter事件的核心问题在于协议层的自定义代码，而非被广泛使用的借贷市场核心合约。

根据DeFiLlama数据，DeFi黑客攻击造成的累计损失已超过210亿美元，其中约92.8亿美元来自DeFi协议，跨链桥占36.9亿美元。

MALT约7.2万美元的损失相对于这些累计数字而言较小。SlowMist的警报未详细说明MALT团队的任何应对措施，而NEAR Intents的处理方式——暂停服务、修复合约缺陷并承诺全额补偿——展示了各项目在类似事件中所采取的补救步骤，MALT是否会采取类似措施仍有待观察。