Pool OCA/USDC của PancakeSwap V2 trên BSC bị hack vào ngày $422k - Coinfea

Pool PancakeSwap V2 cho OCA/USDC trên BSC đã bị khai thác trong một giao dịch đáng ngờ. Cuộc tấn công đã dẫn đến việc mất gần 500.000 đô la Mỹ giá trị của thị trường USDC, bị rút sạch trong một giao dịch duy nhất.

Theo các báo cáo từ các nền tảng an ninh blockchain, kẻ tấn công đã khai thác lỗ hổng trong logic bán OCA giảm phát, cho phép họ thao túng dự trữ của pool. Số tiền cuối cùng mà kẻ tấn công rút được được cho là khoảng 422.000 đô la Mỹ.

Vụ khai thác liên quan đến việc sử dụng các khoản vay flash và hoán đổi flash kết hợp với các cuộc gọi lặp lại tới hàm swapHelper của OCA. Điều này đã loại bỏ token OCA trực tiếp khỏi pool thanh khoản trong quá trình hoán đổi, làm tăng giá OCA trong cặp một cách giả tạo và cho phép rút sạch USDC.

Hacker rút sạch PancakeSwap V2 OCA/USDC

Theo báo cáo, cuộc tấn công được thực hiện qua ba giao dịch. Giao dịch đầu tiên để thực hiện vụ khai thác, và hai giao dịch tiếp theo để làm phần thưởng cho các nhà xây dựng bổ sung. “Tổng cộng, 43 BNB cộng với 69 BNB đã được trả cho 48club-puissant-builder, mang lại lợi nhuận cuối cùng ước tính khoảng 340.000 đô la,” Blocksec Phalcon viết trên X về vụ việc, đồng thời thêm rằng một giao dịch khác trong cùng một khối cũng thất bại tại vị trí 52, có khả năng do bị kẻ tấn công vượt mặt.

Các khoản vay flash trên PancakeSwap cho phép người dùng vay các lượng lớn tài sản crypto mà không cần thế chấp; tuy nhiên, số tiền vay cộng với phí phải được hoàn trả trong cùng một khối giao dịch. Chúng chủ yếu được sử dụng trong các chiến lược arbitrage và thanh lý trên Binance Smart Chain, và các khoản vay thường được thực hiện qua chức năng hoán đổi flash của PancakeSwap V3.

Vào tháng 12 năm 2025, một vụ khai thác cho phép kẻ tấn công rút khoảng 138,6 WBNB từ pool thanh khoản PancakeSwap cho cặp DMi/WBNB, thu về khoảng 120.000 đô la Mỹ. Vụ tấn công này cho thấy cách kết hợp giữa các khoản vay flash và thao túng dự trữ nội bộ của cặp AMM thông qua các hàm sync() và callback có thể được sử dụng để làm cạn kiệt hoàn toàn pool.

Kẻ tấn công đầu tiên tạo ra hợp đồng khai thác và gọi hàm f0ded652(), một điểm vào đặc biệt của hợp đồng, sau đó hợp đồng gọi flashLoan từ giao thức Moolah, yêu cầu khoảng 102.693 WBNB. Sau khi nhận được khoản vay flash, hợp đồng bắt đầu gọi hàm callback onMoolahFlashLoan(…).

Điều đầu tiên callback làm là kiểm tra số dư token DMi trong pool PancakeSwap để chuẩn bị cho việc thao túng dự trữ của cặp. Cần lưu ý rằng lỗ hổng không nằm ở khoản vay flash, mà ở hợp đồng PancakeSwap, cho phép thao túng dự trữ thông qua sự kết hợp của hoán đổi flash và sync() mà không có biện pháp bảo vệ chống lại các callback độc hại.