Alerta de neblina: o protocolo BSC Little Boy Plus foi hackeado, 370 mil dólares foram saqueados

BSC na cadeia DeFi mineração de liquidez Little Boy Plus sofreu um ataque de hackers, com perdas de aproximadamente 370.000 dólares (cerca de 610,5 BNB). A SlowMist monitorou e apontou que a vulnerabilidade está na função LBPHashrate._update(), que pode ser acionada por transferências de valor zero para contornar a verificação de autorização, permitindo que o atacante esvazie completamente o USDT através do pool de liquidez do PancakeSwap.
(Antecedentes: BSC oficial: 8 ataques de empréstimo relâmpago podem ter sido realizados pelo mesmo grupo de hackers!)
(Informação adicional: Contrato inteligente da moeda privada Aztec foi hackeado, com roubo de 2,19 milhões de dólares! SlowMist revelou uma vulnerabilidade de "contabilização contornada")

A organização de segurança blockchain SlowMist detectou que, em 18 de junho, o protocolo de mineração de liquidez Little Boy Plus na cadeia BSC foi atacado, resultando em uma perda de cerca de 370.000 dólares (aproximadamente 610,5 BNB). A SlowMist apontou que a vulnerabilidade principal está na função LBPHashrate._update().

Contorno de autorização por transferência de valor zero

A análise da SlowMist indica que a função vulnerável está no endereço 0x5e3c…85fe, e o problema reside no fato de que ela pode ser acionada por chamadas transferFrom com valor zero, o que contorna o mecanismo de verificação de permissão do OpenZeppelin. Especificamente, o atacante pode chamar diretamente LBPHashrate.transferFrom(pair, DEAD, 0), sem precisar de autorização do par de negociação, acionando a função interna _harvest(pair).

Emissão de tokens LBP causa desequilíbrio de liquidez

A função _harvest(pair) subsequentemente chama LBP.mintReward(pair, reward) para criar tokens LBP diretamente no endereço do pool de liquidez do PancakeSwap. Essa emissão artificial aumenta o saldo aparente do par de negociação, sem refletir o aumento real das reservas, causando desequilíbrio de preços no pool de liquidez. O atacante aproveitou essa vulnerabilidade para usar a função PancakePair.swap() e retirar todo o USDT do pool.

🚨Alerta TI da SlowMist🚨

💸 @LittleBoyPlus foi explorado. Perda: aproximadamente 377.642 USDT (~610,555 BNB)

🔍 Causa raiz: a função LBPHashrate._update() (em 0x5e3c…85fe) é acionada por chamadas transferFrom com valor zero, que contornam a verificação de permissão do OpenZeppelin. Isso permite que um…

— SlowMist (@SlowMist_Team) 18 de junho de 2026