根據區塊鏈安全公司 SlowMist 的報告，一名去中心化金融（DeFi）攻擊者利用 MALT 協議兌換函數的缺陷，抽走約 72,000 美元。

攻擊者僅投入少量輸入便觸發了有缺陷的兌換，隨後獲得的 MALT 超過該交易原本應允許的數量。SlowMist 表示，此次攻擊涉及由 MALT 國庫提供的 $DAI，使攻擊者得以直接從協議中抽取資金。

🚨SlowMist TI Alert🚨
💸 MALT Loss: ~$72k
🔍 Root Cause: swap(uint256,uint256,address) records the caller's input and pre-swap reserves, then invokes an external rebalanceHook before transferring the requested output. The hook withdraws $DAI from the Capital Source and deposits…

— SlowMist (@SlowMist_Team) October 3, 2026

兌換缺陷讓攻擊者得以動用國庫資金

據 SlowMist 表示，該缺陷影響 MALT 的 swap(uint256,uint256,address) 函數。該函數在呼叫外部再平衡鉤子之前，會記錄交易者的輸入以及流動池兌換前的儲備量。

該鉤子隨後從 MALT 的 Capital Source 提領 $DAI，並將其存回流動池。結果，兌換過程在有效性檢查中將國庫資助的 $DAI 視為交易者提供的資金。

這意味著攻擊者只需提供極少的輸入，便能享受由協議自身資金提供的流動性。SlowMist 指出，該缺陷也未能妥善區分用戶資金與再平衡過程中注入的資本。

此次事件凸顯出 DeFi 漏洞可能源自自訂組件之間的交互作用，而非僅僅來自兌換機制本身。由於再平衡鉤子在兌換進行期間將國庫資本移入流動池，協議自身的流動性便得以滿足原本用於驗證交易者出資的檢查——這正是當用戶資金與協議自有資金共用同一會計路徑時所產生的缺口。

MALT 攻擊事件使 DeFi 損失進一步擴大

MALT 事件發生之前，近期已有多起針對 DeFi 專案的攻擊。

$NEAR Intents 在 10 月 1 日遭攻擊並造成約 380 萬美元損失後暫停了服務。該團隊表示已修復合約缺陷，並將全額補償受影響的用戶。

Earlier today $NEAR Intents services were stopped after a security incident was detected. The incident was caused by a bug in the Omni deposit and withdrawal infrastructure interaction with $NEAR Intents smart contract. The preliminary report indicates the total loss of…

— $NEAR Intents (@near_intents) October 1, 2026

另外，一起 FlashLoopAdapter 漏洞攻擊從兩個持有 Aave V3 部位的 Safe 錢包中抽走約 305,000 美元。不過，該攻擊針對的是自訂配接器模組，而非 Aave V3 的核心合約。

與 MALT 的攻擊事件類似，FlashLoopAdapter 事件的重點同樣在於自訂的協議層程式碼，而非廣泛使用的借貸市場之核心合約。

根據 DeFiLlama 數據，DeFi 駭客攻擊已造成超過 210 億美元的總損失，其中約 92.8 億美元來自 DeFi 協議，跨鏈橋則佔 36.9 億美元。

相較於這些累計數字，MALT 約 72,000 美元的損失規模較小。SlowMist 的警報並未詳細說明 MALT 團隊的任何回應，而 NEAR Intents 的處理方式——暫停服務、修復合約缺陷並承諾全額補償——展示了專案在類似事件中所採取的補救措施，MALT 是否會採取類似行動仍有待觀察。