Exploração do BnbLabubu drena US$ 1,1 milhão após incompatibilidade de reservas OLPC – Detalhes

Outro dia, outra façanha.

No dia 20 de junho, um invasor roubou aproximadamente US$ 1,11 milhão em ativos. Isso foi feito aproveitando o pool de liquidez OLPC/LABUBU no PancakeSwap V2 na rede BNB.

O ataque explorou uma falha na forma como o criador de mercado de produtos constantes do pool interagia com o mecanismo deflacionário do OLPC.

Embora as reservas em cache do par tenham permanecido inalteradas, seus saldos reais de tokens entraram em colapso após uma pequena transferência do contrato do invasor. Essa transferência desencadeou a queima de aproximadamente 51,9 milhões de tokens OLPC e 124.000 tokens LABUBU do pool para um endereço morto.

Mais detalhes do ataque

O descasamento de reservas criou uma grave distorção de preços.

Como resultado, o invasor comprou e drenou o LABUBU restante a preços com grandes descontos.

No momento em que este artigo foi escrito, ainda não estava claro se a vulnerabilidade havia sido introduzida intencionalmente muito antes do ataque.

No entanto, uma análise preliminar sugerido a exploração pode ter resultado de um parâmetro decimalsValue modificado anteriormente no contrato OLPC.

Como surgiu esta vulnerabilidade?

UM análise mais aprofundada sugere que esta exploração parece ter resultado de uma falha de longa data no token OLPC. Cerca de 46 dias antes do ataque, o proprietário do token mudou o valor decimal parâmetro de 1 a um número enorme. Isso permitiu queimas excessivas de tokens através do _atualizar() função.

O incidente também levantou suspeitas.

Semanas antes da renúncia à propriedade, o valor decimal do contrato OLPC já havia sido definido para um nível incomumente alto.

Esse momento sugeriu que a falha pode ter sido incorporada muito antes de a exploração ocorrer.

Notavelmente, não houve relatos de que os fundos roubados tenham sido transferidos para outras redes, entrando no Tornado Cash ou sendo distribuídos em várias carteiras.

Ataques em junho

Com outra exploração, o valor total dos hacks em junho até o momento atingiu US$ 60,03 milhões, de acordo com dados do DeFiLlama.

Isso coincidiu com o Protocolo da Humanidade [H] experimentando um exploração significativa, que causou perdas de cerca de US$ 32 milhões. A Aztec Network viu mais um exploração notável resultando na drenagem de 1.158 Ethereum [ETH]150.000 DAI e 0,4696 renBTC.

Além disso, o UXLink, que foi direcionado em setembro de 2025, testemunhou recentemente o invasor transferindo aproximadamente US$ 8,1 milhões em Ethereum para Tornado Cash.

Resumo Final

• O ataque aproveitou uma vulnerabilidade de dessincronização de reservas provocada pelos mecanismos deflacionários do token OLPC.
• Antes de trocar os lucros, o invasor conseguiu drenar a liquidez da LABUBU a taxas vantajosas devido à distorção de preços resultante.