セキュリティ企業SlowMistの報告によると、あるDeFi攻撃者がプロトコルのスワップ機能の脆弱性を悪用し、MALTから約72,000ドルを流出させました。
攻撃者は少額のインプットで不正なスワップをトリガーし、本来の取引以上のMALTを受け取りました。SlowMistによれば、今回の攻撃はMALTのトレジャリーが提供したDAIが関与しており、攻撃者はプロトコルから資金を引き出すことに成功しました。
SlowMistは、この脆弱性がMALTのswap(uint256,uint256,address)関数に影響すると指摘しています。この関数は外部のリバランス機能を呼び出す前に、トレーダーの入力とプールのリザーブを記録します。
その後、この機能はMALTのCapital SourceからDAIを引き出し、それをプールに戻します。そのため、スワップはトレジャリーが供給したDAIを有効性チェック中にトレーダー提供資金として扱っていました。
これにより、攻撃者は少額しか提供しなくても、プロトコルが供給した流動性の恩恵を受けることができました。さらに、この脆弱性はリバランス時に追加された資本とユーザー資金を分離できていませんでした。
MALTでの今回のエクスプロイトは、最近DeFiプロジェクトを標的とした複数の攻撃に続くものです。NEAR Intentsは10月1日のエクスプロイトで約380万ドルの損失が発生した後、サービスを停止しました。チームは契約の脆弱性を修正し、影響を受けたユーザーに全額補償する予定であると述べています。
DeFiLlamaのデータによると、DeFiハックによる損失額は210億ドルを超えています。そのうち92.8億ドルはDeFiプロトコルから、ブリッジは36.9億ドルに上っています。
