Le pool OCA/USDC de PancakeSwap V2 sur BSC piraté pour $422k - Coinfea

La pool PancakeSwap V2 pour OCA/USDC sur BSC a été exploitée lors d’une transaction suspecte. L’attaque a entraîné la perte de près de 500 000 $ en USDC, drainés en une seule transaction.

Selon des rapports des plateformes de sécurité blockchain, l’attaquant a exploité une vulnérabilité dans la logique de vente déflationniste sellOCA(), lui permettant de manipuler les réserves de la pool. Le montant final que l’attaquant a réussi à emporter serait d’environ 422 000 $.

L’exploitation impliquait l’utilisation de prêts flash et d’échanges flash combinés à des appels répétés à la fonction swapHelper d’OCA. Cela a permis de retirer directement des tokens OCA du pool de liquidité lors des échanges, gonflant artificiellement le prix de paire d’OCA et permettant de drainer l’USDC.

Hackers drainent PancakeSwap V2 OCA/USDC

L’attaque aurait été réalisée via trois transactions. La première pour effectuer l’exploitation, et les deux suivantes pour servir de pots-de-vin supplémentaires aux constructeurs. « Au total, 43 BNB plus 69 BNB ont été versés à 48club-puissant-builder, laissant un profit final estimé à 340 000 $ », a écrit Blocksec Phalcon sur X à propos de l’incident, ajoutant qu’une autre transaction dans le même bloc a également échoué à la position 52, probablement parce qu’elle a été frontrunnée par l’attaquant.

Les prêts flash sur PancakeSwap permettent aux utilisateurs d’emprunter des montants importants d’actifs cryptographiques sans collatéral ; cependant, le montant emprunté plus les frais doivent être remboursés dans le même bloc de transaction. Ils sont principalement utilisés dans des stratégies d’arbitrage et de liquidation sur Binance Smart Chain, et les prêts sont généralement facilités par la fonction de swap flash de PancakeSwap V3.

En décembre 2025, une exploitation a permis à un attaquant de retirer environ 138,6 WBNB du pool de liquidité PancakeSwap pour la paire DMi/WBNB, pour un montant d’environ 120 000 $. Cette attaque a démontré comment une combinaison de prêts flash et de manipulation des réserves internes de la paire AMM via sync() et des fonctions de rappel peut être utilisée pour épuiser complètement le pool.

L’attaquant a d’abord créé le contrat d’exploitation et appelé la fonction f0ded652(), un point d’entrée spécialisé dans le contrat, après quoi le contrat a appelé flashLoan du protocole Moolah, demandant environ 102 693 WBNB. Après réception du prêt flash, le contrat initie le rappel onMoolahFlashLoan(…).

La première étape du rappel consiste à connaître le solde en tokens DMi dans la pool PancakeSwap pour préparer la manipulation des réserves de la paire. Il convient de noter que la vulnérabilité ne réside pas dans le prêt flash lui-même, mais dans le contrat PancakeSwap, permettant la manipulation des réserves via une combinaison de swap flash et sync() sans protection contre les rappels malveillants.