Alerte de NuoMi : le protocole BSC Little Boy Plus a été piraté, 370 000 dollars ont été dérobés.

La plateforme DeFi Little Boy Plus sur la chaîne BSC a été piratée, avec une perte d'environ 370 000 dollars (environ 610,5 BNB). SlowMist a détecté que la vulnérabilité provenait de la fonction LBPHashrate._update(), qui peut être contournée par un transfertFrom à zéro valeur, permettant à l'attaquant de vider complètement le pool de liquidités USDT via PancakeSwap.
(Précédent : Officiel BSC : 8 attaques flash loan pourraient être attribuées à « la même organisation de hackers » !)
(Complément d'information : Le contrat intelligent du jeton privé Aztec a été piraté, dérobant 2,19 millions de dollars ! SlowMist révèle une faille de « contournement de règlement »)

L'organisme de sécurité blockchain SlowMist a détecté qu'une attaque a eu lieu sur la plateforme DeFi Little Boy Plus sur la chaîne BSC le 18 juin, entraînant une perte d'environ 370 000 dollars (environ 610,5 BNB). SlowMist indique que la vulnérabilité principale se trouve dans la fonction LBPHashrate._update().

Contournement de l'autorisation par transfert à zéro

SlowMist analyse que la vulnérabilité réside dans l'adresse 0x5e3c…85fe, où cette fonction peut être déclenchée par un appel transferFrom à zéro valeur, contournant ainsi la vérification d'autorisation d'OpenZeppelin. Concrètement, l'attaquant peut appeler directement LBPHashrate.transferFrom(pair, DEAD, 0) sans avoir obtenu l'autorisation du pair, ce qui active la fonction interne _harvest(pair).

La création de jetons LBP déséquilibre la liquidité

La fonction _harvest(pair) émet ensuite des jetons LBP en utilisant LBP.mintReward(pair, reward) directement dans le pool de liquidité PancakeSwap. Cette émission artificielle de LBP augmente le solde comptable du pair sans augmenter ses réserves réelles, provoquant un déséquilibre des prix dans le pool de liquidité. L'attaquant exploite cette faille pour retirer la totalité des USDT du pool via la fonction PancakePair.swap().