慢雾：Little Boy Plusがハッキング攻撃を受け、約37万ドルの資金が流出

Foresight Newsによると、SlowMistの監視によれば、BSC上のDeFiマイニングプロトコルLittle Boy Plusがハッカーによる攻撃を受け、約37万米ドル（約610.555 BNB）の資金が失われました。原因は、LBPHashrate._update()関数（アドレス：0x5e3c...85fe）がゼロ値のtransferFrom呼び出しによってトリガーされ、OpenZeppelinの認可チェックを回避したことにあります。これにより攻撃者は、pairの認可なしにLBPHashrate.transferFrom(pair, DEAD, 0)を呼び出し、_harvest(pair)を発動できました。この関数はLBP.mintReward(pair, reward)を通じて直接PancakePairアドレスへLBPトークンをミントします。ミントされたLBPはpairの残高を増やしますが、そのリザーブは増加しないため、攻撃者はPancakePair.swap()を使ってUSDTを抜き取ることができました。