2026-06-15,攻击者针对 Thetanuts Finance 已废弃的 Index Vault(`TN-IDX-USDC-PUT`)发起单笔原子交易:在 `totalSupply` 极低时 `mint/claim` 整数除法向下舍入,闪电贷回调内 `claim` 拆底层 Vault 份额、循环 `mint(0)` 还贷,再 `initWithdraw` 提取 USDC。本文还原 Phalcon 调用链、利润构成与白帽救援对比,PoC 见 GitHub `contract-attacks`