- Der PancakeSwap V2 OCA/USDC-Pool auf BSC wurde gerade bei einem Exploit, der Flash Loans ausnutzte, mit fast 500.000 $ geplündert.
- Flash Loans ermöglichen es Nutzern, Krypto-Assets ohne Sicherheiten zu leihen, doch der geliehene Betrag zuzüglich Gebühren muss innerhalb desselben Transaktionsblocks zurückgezahlt werden.
- Ein ähnlicher Flash-Lesson-Exploit auf BSC endete damit, dass ein Angreifer mit über 100.000 $ davonkam.
Der PancakeSwap V2-Pool für OCAUSDC auf BSC wurde in einer heute entdeckten verdächtigen Transaktion angegriffen. Der Angriff führte zum Verlust von fast 500.000 $ an USDC-Marktanteil, die in einer einzigen Transaktion abgezogen wurden.
Laut Berichten von Blockchain-Sicherheitsplattformen nutzte der Angreifer eine Schwachstelle in der deflationären SellOCA()-Logik aus, wodurch er Zugriff auf die Reserven des Pools erhielt. Der Endbetrag, den der Angreifer mitgehen konnte, belief sich reportedly auf etwa 422.000 USD.
Der Exploit beinhaltete die Nutzung von Flash-Krediten und Flash-Swaps in Kombination mit wiederholten Aufrufen der swapHelper-Funktion von OCA. Dadurch wurden OCA-Token direkt während der Swaps aus dem Liquiditätspool entfernt, was den On-Pair-Preis von OCA künstlich aufblähte und die Entnahme von USDC ermöglichte.
Wie kam es zum OCA/USDC-Exploit?
Der Angriff wurde berichtet über drei Transaktionen ausgeführt: Die erste diente zur Durchführung des Experiments, die folgenden zwei dienten als zusätzliche Builder-Bestechungsgelder.
„Insgesamt wurden 43 BNB plus 69 BNB an 48club-puissant-builder gezahlt, was einen geschätzten Endgewinn von 340.000 US-Dollar hinterließ“, schrieb Blocksec Phalcon auf X zum Vorfall und fügte hinzu, dass eine weitere Transaktion im selben Block ebenfalls an Position 52 fehlgeschlagen ist, wahrscheinlich weil sie vom Angreifer vorweggenommen wurde.
Flash-Kredite auf PancakeSwap ermöglichen es Nutzern, erhebliche Mengen an Krypto-Assets ohne Sicherheiten zu leihen; jedoch muss der geliehene Betrag zuzüglich Gebühren innerhalb desselben Transaktionsblocks zurückgezahlt werden.
Sie werden hauptsächlich für Arbitrage- und Liquidierungsstrategien auf der Binance Smart Chain eingesetzt, wobei die Kredite in der Regel über die Flash-Swap-Funktion von PancakeSwap V3 abgewickelt werden.
Eine weitere Flash-Kredit-Angriff wurde vor Wochen entdeckt
Im Dezember 2025 ermöglichte ein Exploit es einem Angreifer, etwa 138,6 WBNB aus dem PancakeSwap-Liquiditätspool für das DMi/WBNB-Paar abzuheben, was einen Nettogewinn von etwa 120.000 USD ergab.
Dieser Angriff zeigte, wie eine Kombination aus Flash-Krediten und Manipulation der internen Reserven des AMM-Paares über sync()- und Callback-Funktionen genutzt werden kann, um den Pool vollständig zu leeren.
Der Angreifer erstellte zunächst den Exploit-Vertrag und rief die Funktion f0ded652() auf, einen spezialisierten Einstiegspunkt in den Vertrag, woraufhin der Vertrag die flashLoan-Funktion des Moolah-Protokolls aufruft und etwa 102.693 WBNB anfordert.
Nach Erhalt des Flash-Loans initiiert der Vertrag den onMoolahFlashLoan(…)-Callback. Das Erste, was der Callback tut, ist, die DMi-Token-Bilanz im PancakeSwap-Pool zu ermitteln, um sich auf die Manipulation der Reserven des Paares vorzubereiten.
Es sei angemerkt, dass die Schwachstelle nicht im Flash-Kredit liegt, sondern im PancakeSwap-Vertrag, der eine Manipulation der Reserven durch eine Kombination aus Flash-Swap und sync() ohne Schutz vor bösartigen Callbacks ermöglicht.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
