- La pool OCA/USDC di PancakeSwap V2 su BSC è stata appena svuotata di quasi 500.000 dollari in un exploit che ha sfruttato i flash loan.
- I flash loan permettono agli utenti di prendere in prestito criptovalute senza garanzia, ma l'importo preso in prestito più le commissioni devono essere rimborsati nello stesso blocco di transazione.
- Un simile exploit tramite flash loan su BSC ha portato un attaccante a portarsi via oltre 100.000 dollari.
Il pool V2 di PancakeSwap per OCAUSDC su BSC è stato sfruttato in una transazione sospetta rilevata oggi. L'attacco ha causato la perdita di quasi 500.000 dollari di mercato USDC, drenati in una singola transazione.
Secondo i rapporti delle piattaforme di sicurezza Blockchain , l'attaccante ha sfruttato una vulnerabilità nella logica deflazionistica sellOCA(), ottenendo l'accesso per manipolare le riserve del pool. L'importo finale che l'attaccante è riuscito a sottrarre è stato riportato essere di circa 422.000 dollari.
L'exploit ha coinvolto l'uso di prestiti flash e swap flash combinati con chiamate ripetute alla funzione swapHelper di OCA. Questo ha rimosso i token OCA direttamente dal pool di liquidità durante gli swap, gonfiando artificialmente il prezzo on-pair di OCA e consentendo la drenatura di USDC
Come è avvenuto l'exploit OCA/USDC?
L'attacco è stato presumibilmente eseguito tramite tre transazioni. La prima per portare a termine l'exploit, e le successive due per servire come mance aggiuntive per i builder.
"In totale, 43 BNB più 69 BNB sono stati pagati a 48club-puissant-builder, lasciando un profitto finale stimato di 340K dollari", ha scritto Blocksec Phalcon su X riguardo all'incidente, aggiungendo che un'altra transazione nello stesso blocco è anche fallita alla posizione 52, probabilmente perché è stata frontrun dall'attaccante.
I prestiti flash su PancakeSwap permettono agli utenti di prendere in prestito ingenti quantità di criptoasset senza garanzia; tuttavia, l'importo preso in prestito più le commissioni devono essere rimborsati nello stesso blocco di transazione.
Sono principalmente utilizzati nelle strategie di arbitraggio e liquidazione sulla Binance Smart Chain, e i prestiti sono solitamente facilitati dalla funzione flash swap di PancakeSwap V3.
È stato rilevato un altro attacco tramite flash loan settimane fa
Nel dicembre 2025, un exploit ha permesso a un attaccante di prelevare circa 138,6 WBNB dal pool di liquidità di PancakeSwap per la coppia DMi/WBNB, ottenendo un profitto netto di circa 120.000 dollari.
Quell'attacco ha dimostrato come una combinazione di prestiti flash e manipolazione delle riserve interne della coppia AMM tramite le funzioni sync() e callback sia in grado di svuotare completamente il pool.
L'attaccante ha prima creato il contratto exploit e ha chiamato la funzione f0ded652(), un punto di ingresso specializzato nel contratto, dopodiché il contratto ha chiamato flashLoan dal protocollo Moolah, richiedendo circa 102.693 WBNB.
Ricevuto il prestito flash, il contratto avvia il callback onMoolahFlashLoan(…). La prima cosa che il callback fa è scoprire il saldo del token DMi nel pool di PancakeSwap per prepararsi alla manipolazione delle riserve della coppia.
Va notato che la vulnerabilità non è nel prestito flash, ma nel contratto di PancakeSwap, che consente la manipolazione delle riserve tramite una combinazione di flash swap e sync() senza protezione contro i callback malevoli.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
