慢雾：Little Boy Plus 遭遇攻击，损失约 37.8 万美元

2026-06-18 10:11:55

ChainCatcher 消息，据慢雾监测，Little Boy Plus 遭遇攻击，损失约 377,642 枚 USDT（约 610.555 枚 BNB）。漏洞原因在于 LBPHashrate 合约的 _update 函数可通过零值 transferFrom 调用触发，绕过 OpenZeppelin 的授权检查，攻击者可无需授权调用该函数，触发 _harvest 并通过 LBP.mintReward 向 PancakePair 地址铸造 LBP 代币。铸造的 LBP 增加对池余额但不改变储备，攻击者随后通过 PancakePair.swap 耗尽 USDT。