Пулы PancakeSwap V2 OCA/USDC на BSC подверглись атаке, в результате которой было похищено 422 000 долларов США.

Сегодня был обнаружен подозрительный транзакция, в результате которой пул PancakeSwap V2 для пары OCA/USDC на BSC был взломан. Атака привела к потере почти 500 000 долларов США в виде токенов USDC, которые были выведены за одну транзакцию.

По данным платформ безопасности блокчейна, злоумышленник воспользовался уязвимостью в логике дефляционной продажи OCA(), что позволило ему получить доступ к манипулированию резервами пула. Сообщается, что окончательная сумма, которую злоумышленник получил, составила примерно 422 000 долларов США.

Атака включала использование флэш-займов и флэш-свопов в сочетании с многократными вызовами функции swapHelper токена OCA. Это позволило извлекать токены OCA непосредственно из пула ликвидности во время свопов, искусственно завышая цену OCA и позволяя вывести USDC.

Как произошла атака на OCA/USDC?

Сообщается, что атака была осуществлена через три транзакции. Первая транзакция была использована для осуществления атаки, а две последующие - для предоставления дополнительных вознаграждений майнерам.

"Всего было выплачено 43 BNB плюс 69 BNB майнеру 48club-puissant-builder, что, по оценкам, принесло злоумышленнику прибыль в размере 340 000 долларов США", - написал Blocksec Phalcon в X, добавив, что другая транзакция в том же блоке также не удалась на позиции 52, вероятно, из-за того, что она была опережена злоумышленником.

Флэш-займы на PancakeSwap позволяют пользователям брать значительные суммы криптовалюты без залога; однако, заемная сумма плюс комиссии должны быть возвращены в том же блоке транзакции.

Они в основном используются в стратегиях арбитража и ликвидации на Binance Smart Chain, и займы обычно предоставляются функцией флэш-свопа PancakeSwap V3.

Еще одна атака с использованием флэш-займов была обнаружена несколько недель назад.

В декабре 2025 года атака позволила злоумышленнику вывести примерно 138,6 WBNB из пула ликвидности PancakeSwap для пары DMi/WBNB, что принесло ему около 120 000 долларов США.

Эта атака продемонстрировала, как комбинация флэш-займов и манипулирования внутренними резервами пары AMM с помощью функций sync() и callback может быть использована для полного опустошения пула.

Сначала злоумышленник создавал контракт для атаки и вызывал функцию f0ded652(), которая является специальной точкой входа в контракт, после чего контракт вызывал функцию flashLoan из протокола Moolah, запрашивая примерно 102 693 WBNB.

Получив флэш-заем, контракт инициирует обратный вызов onMoolahFlashLoan(...). Первое, что делает этот обратный вызов, - это определение баланса токенов DMi в пуле PancakeSwap для подготовки к манипулированию резервами пары.

Следует отметить, что уязвимость не во флэш-займе, а в контракте PancakeSwap, который позволяет манипулировать резервами с помощью комбинации флэш-свопа и функции sync() без защиты от вредоносных обратных вызовов.