Медленный туман предупреждает: протокол BSC Little Boy Plus взломан, 370 000 долларов США украдены полностью

Внутрисетевой DeFi майнинговый протокол Little Boy Plus на BSC подвергся атаке хакера, потеря составила около 370 000 долларов США (примерно 610,5 BNB). Мониторинг SlowMist выявил, что уязвимость связана с функцией LBPHashrate._update(), которая может быть вызвана через transferFrom с нулевым значением, обходя проверку разрешений. В результате злоумышленник через пул ликвидности PancakeSwap полностью вывел USDT.
(Предыстория: Официальное сообщение BSC: 8 случаев атак с флеш-лоаном, возможно, совершены одним и тем же хакерским группировкой!)
(Дополнительные сведения: Умный контракт приватной монеты Aztec был взломан, украдено 2,19 миллиона долларов! SlowMist обнаружил уязвимость «обхода расчетов»)

Мониторинг блокчейн-безопасности SlowMist выявил, что 18 июня на BSC был осуществлен взлом протокола Little Boy Plus, в результате которого было потеряно около 370 000 долларов США (примерно 610,5 BNB). SlowMist указал, что основная уязвимость находится в функции LBPHashrate._update().

Обход проверки разрешений через нулевое значение transferFrom

Анализ SlowMist показывает, что уязвимая функция расположена по адресу 0x5e3c…85fe, и проблема в том, что она может быть вызвана с помощью transferFrom с нулевым значением, что позволяет обойти механизм проверки разрешений OpenZeppelin. Конкретно, злоумышленник может вызвать LBPHashrate.transferFrom(pair, DEAD, 0), не получая разрешения на торговую пару, и активировать внутреннюю функцию _harvest(pair).

Создание токенов LBP вызывает дисбаланс ликвидности

Функция _harvest(pair) затем через вызов LBP.mintReward(pair, reward) напрямую создает токены LBP в адресе пула ликвидности PancakeSwap. Эти случайно созданные токены увеличивают учетную сумму торговой пары, но не увеличивают фактические резервы, что приводит к дисбалансу цен внутри пула. Злоумышленник использовал эту уязвимость, вызвав PancakePair.swap() и полностью вывел USDT из пула.

🚨Тревога SlowMist TI🚨

💸 @LittleBoyPlus был взломан. Потери: около 377 642 USDT (~610,555 BNB)

🔍 Основная причина: функция LBPHashrate._update() (по адресу 0x5e3c…85fe) вызывается через transferFrom с нулевым значением, что позволяет обойти проверку разрешений OpenZeppelin. Это дает злоумышленнику возможность…

— SlowMist (@SlowMist_Team) 18 июня 2026