SlowMistが2026年10月3日に報告したところによると、DeFi攻撃者はswap(uint256,uint256,address)関数の不具合を悪用し、MALTから約7万2000ドルを流出させた。この関数は、呼び出し元の入力とスワップ前の準備金を記録した後、要求された出力を送金する前に外部のrebalanceHookを呼び出していた。このフックによってMALTのCapital SourceからDAIが引き出され、攻撃者は財務資金を抜き取り、取引で本来認められる量を上回るMALTを受け取ることができた。