Atakujący DeFi wyprowadził około 72 000 dolarów z MALT po wykorzystaniu luki w funkcji swap protokołu, poinformowała firma bezpieczeństwa SlowMist.
Atakujący użył niewielkiej ilości środków jako input, aby wywołać wadliwy swap. Następnie otrzymał więcej MALT, niż transakcja powinna na to pozwolić. SlowMist wskazał, że exploit obejmował DAI dostarczane przez skarbiec MALT, co pozwoliło atakującemu na wyciągnięcie środków z protokołu.
SlowMist poinformował, że luka dotyczyła funkcji swap(uint256,uint256,address) w MALT. Funkcja zapisywała input tradera oraz rezerwy puli przed wywołaniem zewnętrznej funkcji rebalansującej.
Ta funkcja następnie wypłacała DAI ze Źródła Kapitału MALT i zwracała je do puli. W konsekwencji swap traktował DAI pochodzące ze skarbca jako środki dostarczone przez tradera podczas sprawdzania poprawności.
Pozwoliło to atakującemu na wniesienie zaledwie niewielkiej kwoty, jednocześnie korzystając z płynności finansowanej przez protokół. Co więcej, luka nie oddzielała środków użytkowników od kapitału dodanego podczas rebalansowania.
Exploit MALT nastąpił po kilku niedawnych atakach na projekty DeFi. NEAR Intents wstrzymał usługi po exploicie z 1 października, który spowodował straty w wysokości około 3,8 miliona dolarów. Zespół poinformował, że naprawił lukę w kontrakcie i w pełni zrekompensuje poszkodowanych użytkowników.
Według danych DeFiLlama, włamania DeFi spowodowały straty przekraczające 21 miliardów dolarów. Około 9,28 miliarda dolarów pochodzi z protokołów DeFi, natomiast bridge’e odpowiadają za kolejne 3,69 miliarda.
