Der PancakeSwap V2 Pool für OCAUSDC auf BSC wurde heute in einer verdächtigen Transaktion ausgenutzt. Der Angriff führte zu einem Verlust von fast 500.000 $ an USDC-Markt, der in einer einzigen Transaktion abgezogen wurde.
Laut Berichten von Blockchain-Sicherheitsplattformen nutzte der Angreifer eine Schwachstelle in der deflationären sellOCA() Logik aus, was ihm Zugang verschaffte, um die Reserven des Pools zu manipulieren. Der endgültige Betrag, mit dem der Angreifer davonkam, betrug Berichten zufolge etwa 422.000 $.
Der Exploit umfasste die Nutzung von Flash-Krediten und Flash-Swaps in Kombination mit wiederholten Aufrufen der swapHelper-Funktion von OCA. Dies entfernte OCA-Token direkt aus dem Liquiditätspool während der Swaps, was den Preis von OCA künstlich in die Höhe trieb und die Drainage von USDC ermöglichte.
Wie kam es zu dem OCA/USDC-Exploits?
Der Angriff wurde Berichten zufolge über drei Transaktionen ausgeführt. Die erste, um den Exploit durchzuführen, und die folgenden beiden dienten als zusätzliche Builder-Bestechungen.
„Insgesamt wurden 43 BNB plus 69 BNB an 48club-puissant-builder gezahlt, was einen geschätzten Endgewinn von $340K hinterließ“, schrieb Blocksec Phalcon auf X über den Vorfall und fügte hinzu, dass eine andere Transaktion im selben Block an Position 52 ebenfalls fehlgeschlagen ist, wahrscheinlich weil sie vom Angreifer überholt wurde.
Flash-Darlehen auf PancakeSwap ermöglichen es Benutzern, erhebliche Mengen an Krypto-Assets ohne Sicherheiten zu leihen; jedoch muss der geliehene Betrag plus Gebühren innerhalb desselben Transaktionsblocks zurückgezahlt werden.
Sie werden hauptsächlich in Arbitrage- und Liquidationsstrategien auf der Binance Smart Chain eingesetzt, und die Darlehen werden normalerweise durch die Flash-Swap-Funktion von PancakeSwap V3 ermöglicht.
Ein weiterer Flash-Darlehensangriff wurde vor Wochen entdeckt.
Im Dezember 2025 ermöglichte ein Exploit einem Angreifer, etwa 138.6 WBNB aus dem PancakeSwap-Liquiditätspool für das DMi/WBNB-Paar abzuheben, was etwa $120.000 einbrachte.
Dieser Angriff demonstrierte, wie eine Kombination aus Flash-Darlehen und Manipulation der internen Reserven des AMM-Paares über sync() und Rückruffunktionen verwendet werden kann, um den Pool vollständig zu erschöpfen.
Der Angreifer erstellte zunächst den Exploit-Vertrag und rief die f0ded652() Funktion auf, einen spezialisierten Einstiegspunkt in den Vertrag, wonach der Vertrag dann flashLoan vom Moolah-Protokoll aufruft und etwa 102,693 WBNB anfordert.
Nach Erhalt des Flash-Darlehens initiiert der Vertrag den onMoolahFlashLoan(…) Rückruf. Das Erste, was der Rückruf tut, ist herauszufinden, wie hoch der DMi-Token-Bestand im PancakeSwap-Pool ist, um sich auf die Manipulation der Reserven des Paares vorzubereiten.
Es sollte beachtet werden, dass die Schwachstelle nicht im Flash-Darlehen liegt, sondern im PancakeSwap-Vertrag, der die Manipulation von Reserven über eine Kombination aus Flash-Swap und sync() ohne Schutz gegen böswillige Rückrufe ermöglicht.
Erhalten Sie 8% CASHBACK, wenn Sie Krypto mit der COCA Visa Karte ausgeben. Bestellen Sie Ihre KOSTENLOSE Karte.
