تم اختراق مجموعة PancakeSwap V2 OCA/USDC على BSC لـ $422k - Coinfea

تم استغلال تجمع PancakeSwap V2 لزوج OCA/USDC على شبكة BSC في عملية مشبوهة. أسفرت الهجمة عن خسارة ما يقرب من 500,000 دولار من سوق USDC، تم تصريفها في عملية واحدة.

ووفقًا لتقارير منصات أمان البلوكشين، استغل المهاجم ثغرة في منطق البيع الانكماشي sellOCA()، مما أتاح له التحكم في احتياطيات التجمع. وبلغ المبلغ النهائي الذي تمكن المهاجم من سرقته حوالي 422,000 دولار.

تضمنت عملية الاستغلال استخدام قروض فلاش وتبادلات فلاش مع تكرار استدعاء وظيفة swapHelper الخاصة بـ OCA. هذا أدى إلى سحب رموز OCA مباشرة من تجمع السيولة أثناء عمليات التبادل، مما أدى إلى تضخيم سعر زوج OCA بشكل مصطنع وتمكين تصريف USDC.

القراصنة يسرقون تجمع PancakeSwap V2 لزوج OCA/USDC

يُقال إن الهجوم تم عبر ثلاث معاملات. الأولى لتنفيذ الاستغلال، واثنتان تليها كرشاوى إضافية للمبنيين. وكتب Blocksec Phalcon على منصة X حول الحادث: “إجمالاً، تم دفع 43 BNB بالإضافة إلى 69 BNB إلى 48club-puissant-builder، مع تحقيق ربح نهائي يقدر بـ 340 ألف دولار”، مضيفًا أن معاملة أخرى في نفس الكتلة فشلت أيضًا عند الموضع 52، على الأرجح لأنها تم تنفيذها قبل وقت الهجوم.

تسمح قروض الفلاش على PancakeSwap للمستخدمين باقتراض كميات كبيرة من الأصول الرقمية بدون ضمانات؛ ومع ذلك، يجب سداد المبلغ المقترض بالإضافة إلى الرسوم ضمن نفس كتلة المعاملة. وتُستخدم بشكل رئيسي في استراتيجيات التحكيم والتصفية على شبكة Binance Smart Chain، وغالبًا ما يتم تسهيل القروض بواسطة وظيفة التبادل الفلاش في PancakeSwap V3.

في ديسمبر 2025، سمح استغلال للمهاجم بسحب حوالي 138.6 WBNB من تجمع السيولة الخاص بـ PancakeSwap لزوج DMi/WBNB، محققًا حوالي 120,000 دولار. أظهر ذلك كيف يمكن لمزيج من قروض الفلاش والتلاعب باحتياطيات زوج AMM الداخلية عبر دالتي sync() و callback أن يُستخدم لاستنزاف التجمع بالكامل.

بدأ المهاجم بإنشاء عقد الاستغلال واستدعاء وظيفة f0ded652()، وهي نقطة دخول مخصصة للعقد، ثم استدعى بعد ذلك وظيفة flashLoan من بروتوكول Moolah، طالبًا حوالي 102,693 WBNB. عند استلام قرض الفلاش، بدأ العقد بتنفيذ callback علىMoolahFlashLoan(…).

أول شيء يفعله الـ callback هو معرفة رصيد رمز DMi في تجمع PancakeSwap للتحضير لتلاعب الاحتياطيات في الزوج. ومن الجدير بالذكر أن الثغرة ليست في قرض الفلاش، بل في عقد PancakeSwap، مما يسمح بالتلاعب بالاحتياطيات عبر مزيج من التبادل الفلاش و sync() بدون حماية ضد استدعاءات خبيثة.