SlowMist : Little Boy Plus a été attaqué par des hackers, avec une perte d’environ 370 000 dollars

Selon Foresight News, d'après la surveillance de SlowMist, le protocole DeFi de farming Little Boy Plus sur BSC a été victime d'une attaque de hacker, subissant une perte d'environ 370 000 dollars (soit environ 610,555 BNB). La cause provient de la fonction `LBPHashrate._update()` (située à l'adresse `0x5e3c...85fe`), déclenchée par un appel `transferFrom` avec une valeur nulle, ce qui a contourné la vérification d'autorisation d'OpenZeppelin. Cela a permis à l'attaquant d'appeler sans autorisation de pair la fonction `LBPHashrate.transferFrom(pair, DEAD, 0)`, déclenchant ainsi `_harvest(pair)`, laquelle frappe directement des tokens LBP à l'adresse PancakePair par `LBP.mintReward(pair, reward)`. Les LBP frappés augmentent le solde de pair sans augmenter ses réserves, permettant ainsi à l'attaquant de drainer l'USDT via `PancakePair.swap()`.