- O pool OCA/USDC do PancakeSwap V2 na BSC acabou de ser drenado de quase $500.000 em uma exploração que aproveitou empréstimos relâmpago.
- Empréstimos relâmpago permitem que os usuários tomem emprestados ativos cripto sem garantia, mas o valor emprestado mais as taxas precisam ser reembolsados dentro do mesmo bloco de transação.
- Uma exploração semelhante com empréstimo relâmpago na BSC resultou em um atacante fugindo com mais de $100.000.
A pool V2 da PancakeSwap para OCAUSDC na BSC foi explorada em uma transação suspeita detectada hoje. O ataque resultou na perda de quase US$ 500.000 em mercado de USDC, drenados em uma única transação.
De acordo com relatos de plataformas de segurança blockchain, o atacante explorou uma vulnerabilidade na lógica de venda deflacionária OCA(), dando-lhes acesso para manipular as reservas da pool. O valor final que o atacante conseguiu levar foi relatado como sendo de aproximadamente US$ 422.000.
A exploração envolveu o uso de empréstimos relâmpago (flash loans) e trocas relâmpago (flash swaps) combinados com chamadas repetidas à função swapHelper da OCA. Isso removeu tokens OCA diretamente da pool de liquidez durante as trocas, inflacionando artificialmente o preço on-chain do OCA e permitindo a drenagem de USDC
Como a exploração OCA/USDC aconteceu?
O ataque foi supostamente executado por meio de três transações. A primeira para realizar a exploração, e as duas seguintes para servir como subornos adicionais para os construtores.
“No total, 43 BNB mais 69 BNB foram pagos para 48club-puissant-builder, deixando um lucro final estimado de US$ 340K”, escreveu Blocksec Phalcon no X sobre o incidente, acrescentando que outra transação no mesmo bloco também falhou na posição 52, provavelmente porque foi frontrun pelo atacante.
Empréstimos relâmpago na PancakeSwap permitem que os usuários emprestem quantias significativas de ativos cripto sem garantia; no entanto, o valor emprestado mais as taxas deve ser reembolsado dentro do mesmo bloco de transação.
Eles são usados principalmente em estratégias de arbitragem e liquidação na Binance Smart Chain, e os empréstimos são geralmente facilitados pela função flash swap da PancakeSwap V3.
Outro ataque com empréstimo relâmpago foi detectado semanas atrás
Em dezembro de 2025, uma exploração permitiu que um atacante retirasse aproximadamente 138,6 WBNB da pool de liquidez da PancakeSwap para o par DMi/WBNB, obtendo um lucro líquido de aproximadamente US$ 120.000.
Esse ataque demonstrou como uma combinação de empréstimos relâmpago e manipulação das reservas internas do par AMM por meio das funções sync() e callback é capaz de esgotar completamente a pool.
O atacante primeiro criou o contrato de exploração e chamou a função f0ded652(), um ponto de entrada especializado no contrato, após o qual o contrato então chama flashLoan do protocolo Moolah, solicitando aproximadamente 102.693 WBNB.
Ao receber o empréstimo relâmpago, o contrato inicia o callback onMoolahFlashLoan(…). A primeira coisa que o callback faz é descobrir o saldo do token DMi na pool da PancakeSwap para se preparar para a manipulação das reservas do par.
Deve-se notar que a vulnerabilidade não está no empréstimo relâmpago, mas no contrato da PancakeSwap, permitindo a manipulação das reservas por meio de uma combinação de flash swap e sync() sem proteção contra callbacks maliciosos.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
