Попередження від SlowMist: протокол BSC Little Boy Plus був зламаний, 370 000 доларів США були пограбовані

BSC ланцюг на DeFi майнинговий протокол Little Boy Plus зазнав атаки хакерів, внаслідок якої було втрачено близько 370 000 доларів США (приблизно 610,5 BNB). SlowMist (Медуза-Мед) виявив, що вразливість полягає у тому, що функція LBPHashrate._update() може бути обійдена за допомогою transferFrom з нульовим значенням, що дозволяє зловмиснику через пул ліквідності PancakeSwap повністю вивести USDT.
(Передісторія: Офіційна інформація BSC: 8 випадків атаки з використанням блискавичних позик, ймовірно, здійснені однією хакерською групою!)
(Додаткові відомості: Смарт-контракт приватної криптовалюти Aztec був зламаний, викрадено 2,19 мільйона доларів! SlowMist розкрив вразливість «обхід розрахунків»)

Блокчейн-безпечна організація SlowMist виявила, що 18 червня на BSC-ланцюгу сталася атака на DeFi майнинговий протокол Little Boy Plus, внаслідок якої було втрачено близько 370 000 доларів США (приблизно 610,5 BNB). SlowMist зазначає, що основна вразливість полягає у функції LBPHashrate._update().

Обхід перевірки дозволу через нульовий transferFrom

SlowMist аналізує, що вразливість знаходиться за адресою 0x5e3c…85fe, і полягає у тому, що ця функція може бути викликана з нульовим transferFrom, що обходить перевірку дозволу від OpenZeppelin. Конкретно, зловмисник може викликати LBPHashrate.transferFrom(pair, DEAD, 0), не маючи дозволу на торгову пару, і активувати внутрішню функцію _harvest(pair).

Майнінг токенів LBP спричиняє дисбаланс ліквідності

Функція _harvest(pair) потім через LBP.mintReward(pair, reward) безпосередньо створює токени LBP у пулі PancakeSwap. Це штучне створення збільшує баланс у торговій парі, але не збільшує реальні резерви, що спричиняє дисбаланс цін у пулі ліквідності. Зловмисник, використовуючи цю вразливість, через функцію PancakePair.swap() повністю виводить USDT із пулу.

🚨Оповіщення SlowMist TI🚨

💸 @LittleBoyPlus було зламано. Втрата: близько 377 642 USDT (~610.555 BNB)

🔍 Основна причина: функція LBPHashrate._update() (у 0x5e3c…85fe) викликається при transferFrom з нульовим значенням, що обходить перевірку дозволу OpenZeppelin. Це дозволяє…

— SlowMist (@SlowMist_Team) 18 червня 2026 року