Медленный туман предупреждает: протокол BSC Little Boy Plus взломан, 370 000 долларов США украдены полностью

Внутрисетевой DeFi майнинговый протокол Little Boy Plus на BSC подвергся хакерской атаке, потеря составила около 370 000 долларов США (примерно 610,5 BNB). Мониторинг SlowMist показал, что уязвимость связана с функцией LBPHashrate._update(), которая может быть вызвана нулевым transferFrom, обходя проверку разрешений. В результате злоумышленник через пул ликвидности PancakeSwap полностью вывел USDT.
(Предыстория: Официальное сообщение BSC: 8 случаев атак с флеш-лоаном, возможно, совершены одним и тем же хакерским группировкой!)
(Дополнительная информация: Смарт-контракт приватной валюты Aztec был взломан, украдено 2,19 миллиона долларов! SlowMist выявил уязвимость «обхода расчетов»)

Блокчейн-кибербезопасностная компания SlowMist обнаружила, что 18 июня на BSC был взломан протокол Little Boy Plus, потеря составила около 370 000 долларов США (примерно 610,5 BNB). SlowMist указал, что основная уязвимость находится в функции LBPHashrate._update().

Обход разрешения через нулевой transferFrom

Анализ SlowMist показывает, что уязвимая функция расположена по адресу 0x5e3c…85fe, проблема в том, что она может быть вызвана нулевым transferFrom, что позволяет обойти проверку разрешений OpenZeppelin. Конкретно, злоумышленник может вызвать LBPHashrate.transferFrom(pair, DEAD, 0) без получения разрешения на торговую пару, активируя внутреннюю функцию _harvest(pair).

Создание токенов LBP вызывает дисбаланс ликвидности

Функция _harvest(pair) затем напрямую вызывает LBP.mintReward(pair, reward), чтобы создать новые токены LBP в адресе пула PancakeSwap. Эти случайно созданные токены увеличивают учетную запись торговой пары, но не увеличивают фактические резервы, вызывая дисбаланс цен внутри пула ликвидности. Злоумышленник использовал эту уязвимость, вызвав PancakePair.swap() и полностью вывел USDT из пула.

🚨Тревога SlowMist TI🚨

💸 @LittleBoyPlus был взломан. Потери: около 377 642 USDT (~610,555 BNB)

🔍 Основная причина: функция LBPHashrate._update() (по адресу 0x5e3c…85fe) вызывается нулевыми transferFrom, что позволяет обойти проверку разрешений OpenZeppelin. Это дает возможность…

— SlowMist (@SlowMist_Team) 18 июня 2026 года