Попередження від SlowMist: протокол BSC Little Boy Plus був зламаний, 370 000 доларів США викрадено.

BSC ланцюг на DeFi майнинговий протокол Little Boy Plus зазнав атаки хакерів, внаслідок якої було втрачено близько 370 000 доларів США (приблизно 610,5 BNB). SlowMist (Медуза) повідомив, що вразливість полягає у тому, що функція LBPHashrate._update() може бути обійдена за допомогою transferFrom з нульовим значенням, що дозволяє зловмиснику через пул ліквідності PancakeSwap повністю вивести USDT.
(Передісторія: Офіційна інформація BSC: 8 випадків атак з використанням блискавичних позик, ймовірно, здійснені однією й тією ж хакерською групою!)
(Додаткові відомості: Смарт-контракт приватної криптовалюти Aztec був зламаний, викрадено 2,19 мільйона доларів! SlowMist викрив вразливість «обхідної розрахункової системи»)

Мережевий безпековий орган SlowMist виявив, що 18 червня на BSC-ланцюгу протокол Little Boy Plus був здійснений злом, внаслідок чого було втрачено близько 370 000 доларів США (приблизно 610,5 BNB). SlowMist зазначив, що основна вразливість полягає у функції LBPHashrate._update().

Обхід перевірки дозволу за допомогою transferFrom з нульовим значенням

Аналіз SlowMist показує, що вразливість знаходиться за адресою 0x5e3c…85fe, і полягає у тому, що ця функція може бути викликана з нульовим transferFrom, що обходить перевірку дозволу за допомогою OpenZeppelin. Конкретно, зловмисник може викликати LBPHashrate.transferFrom(pair, DEAD, 0) без отримання дозволу для пари, що активує внутрішню функцію _harvest(pair).

Майнінг токенів LBP спричиняє дисбаланс ліквідності

Функція _harvest(pair) потім через LBP.mintReward(pair, reward) безпосередньо створює токени LBP у пулі ліквідності PancakeSwap. Це штучне створення збільшує баланс у торговій парі, але не збільшує реальні резерви, що призводить до дисбалансу цін у пулі. Зловмисник, використовуючи цю вразливість, через функцію PancakePair.swap() повністю виводить USDT із пулу.

🚨Оповіщення TI від SlowMist🚨

💸 @LittleBoyPlus було зламано. Втрата: близько 377 642 USDT (~610.555 BNB)

🔍 Основна причина: функція LBPHashrate._update() (у 0x5e3c…85fe) викликається за допомогою transferFrom з нульовим значенням, що обходить перевірку дозволу OpenZeppelin. Це дозволяє…

— SlowMist (@SlowMist_Team) 18 червня 2026 року