- El pool OCA/USDC de PancakeSwap V2 en BSC acaba de ser despojado de casi 500.000 $ en una explotación que aprovechó los préstamos flash.
- Los préstamos flash permiten a los usuarios solicitar activos criptográficos sin garantía, pero el monto prestado más las comisiones deben devolverse dentro del mismo bloque de transacción.
- Una explotación similar con préstamos flash en BSC permitió a un atacante escapar con más de 100.000 $.
El pool PancakeSwap V2 para OCAUSDC en BSC fue explotado en una transacción sospechosa detectada hoy. El ataque resultó en la pérdida de casi 500.000 dólares en valor de mercado de USDC, drenados en una sola transacción.
Según informes de plataformas de seguridad Blockchain, el atacante explotó una vulnerabilidad en la lógica de venta deflacionaria sellOCA(), lo que les dio acceso para manipular las reservas del pool. Se informó que la cantidad final con la que el atacante se escapó fue de aproximadamente 422.000 dólares.
La explotación implicó el uso de préstamos flash y swaps flash combinados con llamadas repetidas a la función swapHelper de OCA. Esto eliminó tokens OCA directamente del pool de liquidez durante los swaps, inflando artificialmente el precio en el par de OCA y permitiendo el drenaje de USDC
¿Cómo ocurrió la explotación de OCA/USDC?
El ataque se reportó ejecutó mediante tres transacciones. La primera para llevar a cabo la explotación, y las siguientes dos para servir como sobornos adicionales a los constructores.
"En total, se pagaron 43 BNB más 69 BNB a 48club-puissant-builder, dejando una ganancia final estimada de 340.000 dólares", escribió Blocksec Phalcon en X sobre el incidente, añadiendo que otra transacción en el mismo bloque también falló en la posición 52, probablemente porque fue frontrun por el atacante.
Los préstamos flash en PancakeSwap permiten a los usuarios prestar cantidades significativas de activos cripto sin garantía; sin embargo, el monto prestado más las tarifas debe ser reembolsado dentro del mismo bloque de transacciones.
Se utilizan principalmente en estrategias de arbitraje y liquidación en la Binance Smart Chain, y los préstamos suelen ser facilitados por la función flash swap de PancakeSwap V3.
Otro ataque con préstamo flash fue detectado hace semanas atrás
En diciembre de 2025, una explotación permitió a un atacante retirar aproximadamente 138,6 WBNB del pool de liquidez de PancakeSwap para el par DMi/WBNB, obteniendo aproximadamente 120.000 dólares.
Ese ataque demostró cómo una combinación de préstamos flash y manipulación de las reservas internas del par AMM mediante las funciones sync() y callback puede ser utilizada para agotar completamente el pool.
El atacante primero creó el contrato de explotación y llamó a la función f0ded652(), un punto de entrada especializado en el contrato, después de lo cual el contrato llamó a flashLoan del protocolo Moolah, solicitando aproximadamente 102.693 WBNB.
Al recibir el préstamo flash, el contrato inicia la devolución de llamada onMoolahFlashLoan(…). Lo primero que la devolución de llamada hace es determinar el saldo de tokens DMi en el pool de PancakeSwap para prepararse para la manipulación de las reservas del par.
Cabe señalar que la vulnerabilidad no está en el préstamo flash, sino en el contrato de PancakeSwap, lo que permite la manipulación de las reservas mediante una combinación de flash swap y sync() sin protección contra devoluciones de llamada maliciosas.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
