- Le pool OCA/USDC PancakeSwap V2 sur BSC vient d'être vidé de près de 500 000 $ dans le cadre d'une exploitation exploitant des prêts flash.
- Les prêts flash permettent aux utilisateurs d'emprunter des actifs cryptographiques sans garantie, mais le montant emprunté plus les frais doivent être remboursés dans le même bloc de transaction.
- Une attaque similaire par prêt flash sur BSC a permis à un attaquant de s'enfuir avec plus de 100 000 $.
Le pool PancakeSwap V2 pour OCAUSDC sur BSC a été exploité dans une transaction suspecte détectée aujourd'hui. L'attaque a entraîné la perte de près de 500 000 $ de marché USDC, drainés en une seule transaction.
Selon les rapports des plateformes de sécurité Blockchain, l'attaquant a exploité une vulnérabilité dans la logique de vente déflationniste OCA(), lui donnant accès pour manipuler les réserves du pool. Le montant final que l'attaquant a pu emporter était d'environ 422 000 $.
L'exploitation a impliqué l'utilisation de prêts flash et d'échanges flash combinés à des appels répétés à la fonction swapHelper d'OCA. Cela a retiré les tokens OCA directement du pool de liquidité lors des échanges, gonflant artificiellement le prix sur paire d'OCA et permettant le drainage de USDC
Comment l'exploitation OCA/USDC s'est-elle produite ?
L'attaque a apparemment été exécutée via trois transactions. La première pour mener à bien l'exploitation, et les deux suivantes pour servir de bribes supplémentaires aux buildeurs.
« Au total, 43 BNB plus 69 BNB ont été payés à 48club-puissant-builder, laissant un bénéfice final estimé à 340 K », a écrit Blocksec Phalcon sur X au sujet de l'incident, ajoutant qu'une autre transaction dans le même bloc a également échoué à la position 52, probablement parce qu'elle a été frontrun par l'attaquant.
Les prêts flash sur PancakeSwap permettent aux utilisateurs d'emprunter des montants importants d'actifs cryptographiques sans garantie ; cependant, le montant emprunté plus les frais doit être remboursé dans le même bloc de transaction.
Ils sont principalement utilisés dans les stratégies d'arbitrage et de liquidation sur la Binance Smart Chain, et les prêts sont généralement facilités par la fonction flash swap de PancakeSwap V3.
Une autre attaque par prêt flash a été détectée il y a quelques semaines plus tôt
En décembre 2025, une exploitation a permis à un attaquant de retirer environ 138,6 WBNB du pool de liquidité PancakeSwap pour la paire DMi/WBNB, rapportant environ 120 000 $.
Cette attaque a démontré comment une combinaison de prêts flash et de manipulation des réserves internes de la paire AMM via les fonctions sync() et callback peut être utilisée pour vider complètement le pool.
L'attaquant a d'abord créé le contrat d'exploitation et appelé la fonction f0ded652(), un point d'entrée spécialisé dans le contrat, après quoi le contrat a appelé flashLoan du protocole Moolah, demandant environ 102 693 WBNB.
Après avoir reçu le prêt flash, le contrat initie le rappel onMoolahFlashLoan(…). La première chose que le rappel fait est de déterminer le solde du token DMi dans le pool PancakeSwap afin de se préparer à la manipulation des réserves de la paire.
Il convient de noter que la vulnérabilité ne réside pas dans le prêt flash, mais dans le contrat PancakeSwap, permettant la manipulation des réserves via une combinaison de swap flash et de sync() sans protection contre les callbacks malveillants.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
