PancakeSwap V2 OCA/USDC 资金池在BSC被黑，涉及编号$422k 的Coinfea

在BSC上的OCA/USDC PancakeSwap V2流动性池遭遇一次可疑交易被利用。此次攻击导致近50万美元的USDC市值在一次交易中被全部抽走。

据区块链安全平台的报告，攻击者利用了sellOCA()的通缩逻辑漏洞，使其能够操控池中的储备。最终，攻击者据称共获得约42.2万美元。

此次漏洞利用结合了闪电贷和闪电交换，并反复调用OCA的swapHelper函数。在交换过程中，直接从流动性池中移除OCA代币，人工抬高OCA的配对价格，从而实现USDC的抽取。

黑客抽走PancakeSwap V2 OCA/USDC

据报道，此次攻击通过三笔交易完成。第一笔用于实施漏洞利用，后两笔作为额外的“建造者贿赂”。“总共支付了43 BNB和69 BNB给48club-puissant-builder，估算最终利润为34万美元，”Blocksec Phalcon在X平台上提到此事件，并补充说，同一区块中的另一笔交易在位置52也失败了，可能是被攻击者抢跑所致。

PancakeSwap的闪电贷允许用户在无需抵押的情况下借入大量加密资产；但借入的金额加上手续费必须在同一交易区块内偿还。闪电贷主要用于Binance Smart Chain上的套利和清算策略，通常由PancakeSwap V3的闪电交换功能提供支持。

2025年12月，一次漏洞允许攻击者从PancakeSwap的DMi/WBNB流动池中提取约138.6 WBNB，获利约12万美元。此次攻击展示了如何通过结合闪电贷和操控AMM对内部储备的sync()和回调函数，完全耗尽池子。

攻击者首先创建了漏洞合约，并调用f0ded652()函数，这是合约的专用入口点，随后合约调用Moolah协议的flashLoan，借入约102,693 WBNB。收到闪电贷后，合约启动onMoolahFlashLoan(…)回调。

回调的第一步是查询PancakeSwap池中的DMi代币余额，以准备操控配对的储备。需要注意的是，此漏洞并不在闪电贷本身，而是在PancakeSwap合约中，允许通过闪电交换和sync()的结合操控储备，而没有对恶意回调进行保护。