Pula PancakeSwap V2 OCA/USDC na BSC opróżniona z $422K

Pula PancakeSwap V2 dla pary OCAUSDC na BSC została wykorzystana w podejrzanej transakcji wykrytej dzisiaj. Atak spowodował utratę prawie 500 000 USD wartości rynku USDC, wypompowanych w jednej transakcji.

Według raportów z platform bezpieczeństwa Blockchain, atakujący wykorzystał lukę w deflacyjnej logice sellOCA(), uzyskując dostęp do manipulowania rezerwami puli. Końcowa kwota, którą atakujący zdobył, wyniosła podobno około 422 000 USD.

Exploit obejmował wykorzystanie pożyczek błyskawicznych i błyskawicznych swapów w połączeniu z powtarzającymi się wywołaniami funkcji swapHelper OCA. Spowodowało to usunięcie tokenów OCA bezpośrednio z puli płynności podczas swapów, sztucznie zawyżając cenę pary OCA i umożliwiając wypompowanie USDC

Jak doszło do exploitu OCA/USDC?

Atak został podobno przeprowadzony za pomocą trzech transakcji. Pierwsza miała wykonać exploit, a dwie kolejne służyły jako dodatkowe łapówki dla buildera.

"W sumie 43 BNB plus 69 BNB zostało zapłacone dla 48club-puissant-builder, pozostawiając szacunkowy końcowy zysk w wysokości 340 000 USD", napisał Blocksec Phalcon na X o incydencie, dodając, że inna transakcja w tym samym bloku również zawiodła na pozycji 52, prawdopodobnie dlatego, że została wyprzedzona przez atakującego.

Pożyczki błyskawiczne na PancakeSwap pozwalają użytkownikom pożyczać znaczące ilości aktywów kryptowalutowych bez zabezpieczenia; jednak pożyczona kwota plus opłaty muszą zostać spłacone w tym samym bloku transakcji.

Są one głównie używane w strategiach arbitrażu i likwidacji na Binance Smart Chain, a pożyczki są zazwyczaj ułatwiane przez funkcję flash swap PancakeSwap V3.

Kolejny atak z użyciem pożyczki błyskawicznej został wykryty kilka tygodni temu

W grudniu 2025 roku exploit pozwolił atakującemu wypłacić około 138,6 WBNB z puli płynności PancakeSwap dla pary DMi/WBNB, co dało około 120 000 USD.

Ten atak pokazał, jak kombinacja pożyczek błyskawicznych i manipulacji wewnętrznymi rezerwami pary AMM za pomocą funkcji sync() i callback może być wykorzystana do całkowitego wyczerpania puli.

Atakujący najpierw stworzył kontrakt exploita i wywołał funkcję f0ded652(), specjalistyczny punkt wejścia do kontraktu, po czym kontrakt wywołuje flashLoan z protokołu Moolah, żądając około 102 693 WBNB.

Po otrzymaniu pożyczki błyskawicznej kontrakt inicjuje callback onMoolahFlashLoan(…). Pierwszą rzeczą, którą callback robi, jest sprawdzenie salda tokenów DMi w puli PancakeSwap w celu przygotowania się do manipulacji rezerwami pary.

Należy zauważyć, że luka nie znajduje się w pożyczce błyskawicznej, ale w kontrakcie PancakeSwap, umożliwiając manipulację rezerwami poprzez kombinację flash swap i sync() bez ochrony przed złośliwymi callbackami.