Alerta de nevoeiro lento: O protocolo BSC Little Boy Plus foi hackeado, 370 mil dólares foram saqueados.

Acordo na cadeia BSC DeFi mineração protocolo Little Boy Plus foi alvo de hackers, com perdas de aproximadamente 370.000 dólares (cerca de 610,5 BNB). A SlowMist monitorização indicou que a vulnerabilidade reside na função LBPHashrate._update(), que pode ser contornada por transferências de valor zero, permitindo ao atacante esvaziar completamente o USDT através do pool de liquidez PancakeSwap.
(Antecedentes: BSC oficial: 8 ataques de flash loan podem ter sido realizados pelo mesmo grupo de hackers!)
(Complemento de contexto: Contrato inteligente da moeda de privacidade Aztec foi hackeado, com roubo de 2,19 milhões de dólares! SlowMist revelou uma vulnerabilidade de "contabilização contornada")

A organização de segurança blockchain SlowMist detectou que, na cadeia BSC, o protocolo de mineração DeFi Little Boy Plus foi atacado em 18 de junho, com perdas de cerca de 370.000 dólares (aproximadamente 610,5 BNB). A SlowMist apontou que a vulnerabilidade principal está na função LBPHashrate._update().

Contorno de autorização por transferência de valor zero

A análise da SlowMist indica que a vulnerabilidade está na função localizada em 0x5e3c…85fe, que pode ser acionada por chamadas transferFrom com valor zero, contornando o mecanismo de verificação de autorização do OpenZeppelin. Especificamente, o atacante pode chamar diretamente LBPHashrate.transferFrom(pair, DEAD, 0) sem precisar de autorização prévia do par de negociação, acionando a função interna _harvest(pair).

Emissão de tokens LBP causa desequilíbrio de liquidez

A função _harvest(pair) posteriormente chama LBP.mintReward(pair, reward) para criar tokens LBP diretamente no endereço do pool de liquidez PancakeSwap. Essa emissão artificial aumenta o saldo aparente do par de negociação, sem refletir o aumento real de reservas, causando desequilíbrio de preços no pool de liquidez. O atacante aproveitou essa vulnerabilidade para usar a função PancakePair.swap() e retirar todo USDT do pool.

🚨Alerta TI da SlowMist🚨

💸 @LittleBoyPlus foi explorado. Perda: aproximadamente 377.642 USDT (~610,555 BNB)

🔍 Causa raiz: a função LBPHashrate._update() (em 0x5e3c…85fe) é acionada por chamadas transferFrom com valor zero, que contornam a verificação de permissão do OpenZeppelin. Isso permite uma…

— SlowMist (@SlowMist_Team) 18 de junho de 2026