Alerta de nevoeiro lento: O protocolo BSC Little Boy Plus foi hackeado, 370.000 dólares foram saqueados.

Acordo na cadeia BSC DeFi mineração protocolo Little Boy Plus sofreu um ataque de hackers, com perdas de aproximadamente 370.000 dólares (cerca de 610,5 BNB). A SlowMist monitorou e apontou que a vulnerabilidade reside na função LBPHashrate._update(), que pode ser acionada por transferências zero para contornar a verificação de autorização, permitindo que o atacante esvazie completamente o USDT através do pool de liquidez PancakeSwap.
(Antecedentes: BSC oficial: 8 ataques de empréstimo relâmpago podem ter sido realizados pelo mesmo grupo de hackers!)
(Complemento de contexto: Contrato inteligente da moeda de privacidade Aztec foi hackeado, com roubo de 2,19 milhões de dólares! SlowMist revelou uma vulnerabilidade de "contabilização contornada")

A organização de segurança blockchain SlowMist detectou que o protocolo de mineração DeFi Little Boy Plus na cadeia BSC foi atacado por hackers em 18 de junho, com perdas de cerca de 370.000 dólares (aproximadamente 610,5 BNB). A SlowMist apontou que a vulnerabilidade principal está na função LBPHashrate._update().

Transferência zero contorna a verificação de autorização

A análise da SlowMist indica que a função vulnerável está localizada no endereço 0x5e3c…85fe, e o problema reside no fato de que essa função pode ser acionada por chamadas transferFrom com valor zero, o que contorna o mecanismo de verificação de permissão do OpenZeppelin. Especificamente, o atacante pode chamar diretamente LBPHashrate.transferFrom(pair, DEAD, 0) sem precisar obter autorização do par de negociação, acionando assim a função interna _harvest(pair).

Emissão de tokens LBP causa desequilíbrio de liquidez

A função _harvest(pair) subsequentemente chama LBP.mintReward(pair, reward) para cunhar tokens LBP diretamente no endereço do pool de liquidez PancakeSwap. Essa emissão arbitrária de tokens aumenta o saldo aparente do par de negociação, sem refletir o aumento real de reservas, causando desequilíbrio de preços no pool de liquidez. O atacante explorou essa vulnerabilidade para usar a função PancakePair.swap() e retirar todo USDT do pool.

🚨Alerta TI da SlowMist🚨

💸 @LittleBoyPlus foi explorado. Perda: aproximadamente 377.642 USDT (~610,555 BNB)

🔍 Causa raiz: a função LBPHashrate._update() (em 0x5e3c…85fe) é acionada por chamadas transferFrom com valor zero, que contornam a verificação de permissão do OpenZeppelin. Isso permite que um…

— SlowMist (@SlowMist_Team) 18 de junho de 2026