ゼロ金額でも鋳造をトリガーできる、この認証チェックはちょっと行き過ぎている、コントラクト監査をもっと詳細にすべきだ

慢雾セキュリティチームは警報を発し、LittleBoyPlusが脆弱性攻撃を受け、約377642 USDT、約610.555 BNBの損失を被ったと発表した。慢雾によると、脆弱性の根源はLBPHashrateコントラクトのupdate関数がゼロ金額のtransferFrom呼び出しによってトリガーされ、OpenZeppelinの承認チェックを回避できる点にある。攻撃者は取引ペアの承認を必要とせずに、LBPトークンを直接PancakePairアドレスに鋳造し、残高と準備金の不均衡を引き起こし、その後PancakePair.swapを通じてUSDTを引き出した。