SlowMist: Little Boy Plus подвергся хакерской атаке, убытки составили около 370 тысяч долларов.

По данным Foresight News и мониторинга SlowMist, DeFi-майнинг протокол Little Boy Plus, работающий на BSC, подвергся хакерской атаке, в результате чего было похищено около 370 тысяч долларов (примерно 610,555 BNB). Причиной стала функция `LBPHashrate._update()` (расположенная по адресу `0x5e3c...85fe`), которая была вызвана с нулевым значением при использовании `transferFrom`, что позволило обойти проверку разрешения OpenZeppelin. Это дало злоумышленнику возможность без авторизации пары вызвать `LBPHashrate.transferFrom(pair, DEAD, 0)`, инициировав тем самым выполнение `_harvest(pair)`. Эта функция посредством `LBP.mintReward(pair, reward)` напрямую чеканила токены LBP на адрес PancakePair. В результате чеканки баланс пары увеличивался, но её резервы не пополнялись, благодаря чему злоумышленник мог через `PancakePair.swap()` вывести USDT.