Isang DeFi attacker ang nag-withdraw ng humigit-kumulang $72,000 mula sa MALT matapos gamitin ang isang kahinaan sa swap function ng protocol, ayon sa ulat ng security firm na SlowMist.
Gumamit ang attacker ng maliit na halaga bilang input upang ma-trigger ang may depektong swap. Pagkatapos ay nakatanggap sila ng mas maraming MALT kaysa dapat na pinapayagan ng transaksyon. Ayon kay SlowMist, kinapalooban ng exploit ang DAI na nagmula sa treasury ng MALT, na nagbigay-daan sa attacker na makakuha ng pondo mula sa protocol.
Sinabi ng SlowMist na naapektuhan ng kahinaang ito ang MALT’s swap(uint256,uint256,address) function. Itinatala ng function ang input ng trader at pool reserves bago tawagin ang external rebalancing function.
Pagkatapos, nag-withdraw ang function na iyon ng DAI mula sa MALT’s Capital Source at ibinalik ito sa pool. Bilang resulta, itinuring ng swap na ang treasury-funded DAI ay itinuring na trader-supplied funds habang sinusuri ang validity nito.
Dahil dito, nagawa ng attacker na magbigay lamang ng maliit na halaga habang nakikinabang mula sa protocol-funded liquidity. Bukod dito, nabigo ang kahinaan na ihiwalay ang pondo ng user mula sa capital na idinagdag sa panahon ng rebalancing.
Ang MALT exploit ay kasunod ng ilang kamakailang pag-atake sa mga DeFi project. Inihinto ng NEAR Intents ang mga serbisyo matapos ang isang exploit noong Oktubre 1 na nagdulot ng humigit-kumulang $3.8 million sa pagkalugi. Sinabi ng kanilang team na inayos na nila ang contract flaw at lubos na bibigyan ng kompensasyon ang mga apektadong user.
Ang mga DeFi hack ay nagdulot na ng higit sa $21 billion sa mga pagkalugi, ayon sa data ng DeFiLlama. Humigit-kumulang $9.28 billion ang nagmula sa mga DeFi protocol, samantalang $3.69 billion naman ang mula sa mga bridge.
