Alerta de neblina: O protocolo BSC Little Boy Plus foi hackeado, 370 mil dólares foram saqueados

BSC na cadeia DeFi mineração protocolo Little Boy Plus sofreu um ataque de hackers, com perdas de aproximadamente 370.000 dólares (cerca de 610,5 BNB). SlowMist monitorou e apontou que a vulnerabilidade está na função LBPHashrate._update(), que pode ser acionada por transferências zero, burlando a verificação de autorização, permitindo que o atacante esvazie completamente o USDT através do pool de liquidez do PancakeSwap.
(Antecedentes: BSC oficial: 8 ataques de flash loan podem ter sido realizados pelo mesmo grupo de hackers!)
(Complemento: Contrato inteligente da moeda privada Aztec foi hackeado, com roubo de 2,19 milhões de dólares! SlowMist revelou uma vulnerabilidade de "bypass de liquidação")

A organização de segurança blockchain SlowMist detectou que, em 18 de junho, o protocolo de mineração DeFi Little Boy Plus na cadeia BSC foi atacado, com perdas de cerca de 370.000 dólares (aproximadamente 610,5 BNB). SlowMist apontou que a vulnerabilidade principal está na função LBPHashrate._update().

Transferência zero burlando a verificação de autorização

SlowMist analisou que a vulnerabilidade está na função localizada no endereço 0x5e3c…85fe, que pode ser acionada por chamadas transferFrom com valor zero, burlando o mecanismo de verificação de permissão do OpenZeppelin. Especificamente, o atacante pode chamar diretamente LBPHashrate.transferFrom(pair, DEAD, 0), sem precisar de autorização do par, acionando a função interna _harvest(pair).

Emissão de tokens LBP causa desequilíbrio de liquidez

A função _harvest(pair) posteriormente chama LBP.mintReward(pair, reward) para criar tokens LBP diretamente no endereço do pool de liquidez do PancakeSwap. Essa emissão artificial aumenta o saldo aparente do par de negociação, sem refletir o aumento real de reservas, causando desequilíbrio de preços no pool de liquidez. O atacante explorou essa vulnerabilidade para usar a função PancakePair.swap() e retirar todo USDT do pool.

🚨Alerta TI da SlowMist🚨

💸 @LittleBoyPlus foi explorado. Perda: aproximadamente 377.642 USDT (~610,555 BNB)

🔍 Causa raiz: a função LBPHashrate._update() (em 0x5e3c…85fe) é acionada por chamadas transferFrom com valor zero, que burlam a verificação de permissão do OpenZeppelin. Isso permite que um…

— SlowMist (@SlowMist_Team) 18 de junho de 2026