В пуле PancakeSwap V2 OCA/USDC на BSC было изъято 422 тыс. долларов

Сегодня на бирже BSC была обнаружена подозрительная транзакция в пуле PancakeSwap V2 для OCAUSDC. В результате атаки было потеряно почти 500 000 долларов США на рынке USDC за одну транзакцию.

Согласно сообщениям блокчейна , злоумышленник использовал уязвимость в логике дефляционной функции sellOCA(), получив доступ к манипулированию резервами пула. По имеющимся данным, в итоге злоумышленнику удалось присвоить около 422 000 долларов.

Уязвимость заключалась в использовании мгновенных займов и мгновенных свопов в сочетании с многократными вызовами функции swapHelper OCA. Это приводило к прямому удалению токенов OCA из пула ликвидности во время свопов, искусственно завышая цену OCA в паре и позволяя вывести USDC .

Как произошла уязвимость OCA/USDC?

Сообщается, что атака была осуществлена ​​в три этапа. Первый — для реализации уязвимости, а два последующих — в качестве дополнительных взяток строителям.

«В общей сложности 43 BNB плюс 69 BNB были выплачены компании 48club-puissant-builder, что, по предварительным оценкам, принесло конечную прибыль в размере 340 000 долларов», — написал Blocksec Phalcon на X обdent, добавив, что еще одна транзакция в том же блоке также провалилась на позиции 52, вероятно, потому что злоумышленник опередил ее.

В рамках платформы PancakeSwap мгновенные займы позволяют пользователям брать в долг значительные суммы криптоактивов без залога; однако заемная сумма плюс комиссия должны быть возвращены в течение одного и того же транзакционного блока.

Они в основном используются в арбитражных и ликвидационных стратегиях на Binance Smart Chain, а предоставление займов обычно осуществляется с помощью функции мгновенного обмена PancakeSwap V3.

Несколько недель назад была обнаружена еще одна атака с использованием мгновенных займов.

В декабре 2025 года злоумышленник, используя , смог вывести приблизительно 138,6 WBNB из пула ликвидности PancakeSwap для пары DMi/WBNB , получив таким образом около 120 000 долларов.

Эта атака продемонстрировала, как сочетание мгновенных займов и манипулирования внутренними резервами пары AMM с помощью функций sync() и callback может быть использовано для полного истощения пула.

Злоумышленник сначала создал эксплойт-контрактtracвызвал функцию f0ded652(), специализированную точку входа в контрактtracпосле чего контрактtracвызывает из протокола Moolah, запрашивая приблизительно 102 693 WBNB.

После получения мгновенного кредита контрактtracвызов обратный onMoolahFlashLoan(…). Первое, что делает этот обратный вызов, — это определяет баланс токенов DMi в пуле обмена Pancakecake, чтобы подготовиться к манипуляциям с резервами пары.

Следует отметить, что уязвимость заключается не в мгновенном кредите, а вtraccakeSwap, позволяющем манипулировать резервами посредством комбинации мгновенного свопа и функции sync() без защиты от вредоносных обратных вызовов.