Басейн PancakeSwap V2 OCA/USDC на BSC втратив $422 тисячі

Сьогодні було виявлено експлуатацію пулу PancakeSwap V2 для OCAUSDC на BSC, в результаті якої було втрачено майже 500 000 доларів США в $USDC за одну транзакцію.

Згідно з інформацією, атакуючий використав вразливість у логіці deflationary sellOCA(), що дозволило йому маніпулювати резервами пулу.

Завершальна сума, яку вдалось вкрасти зловмиснику, становила близько 422 000 доларів США.

Атаку виконали за допомогою флеш-кредитів та флеш-обмінів, повторно викликаючи функцію swapHelper OCA, що призвело до прямого зняття токенів OCA з ліквідності під час обмінів, штучно підвищуючи ціну OCA та дозволяючи вичерпати $USDC. Згідно з повідомленнями, атака реалізовувалась у три транзакції: перша - для проведення експлуатації, а дві наступні - як додаткові винагороди для будівельників.

Загальна сума винагороди становила 43 $BNB плюс 69 $BNB, залишивши прибуток приблизно 340 000 доларів США.

Флеш-кредити на PancakeSwap дозволяють користувачам позичати значні суми криптовалют без застави, але позичену суму з комісіями потрібно повернути в межах того ж блоку транзакцій.

Нагадаємо, що кілька тижнів тому була виявлена інша атака флеш-кредитами, в результаті якої атакуючий зняв приблизно 138.6 WBNB з ліквідності PancakeSwap для пари DMi/WBNB, отримавши близько 120 000 доларів.

Ця ситуація також продемонструвала, як комбінація флеш-кредитів і маніпуляції внутрішніми резервами AMM може повністю виснажити пул.