(120BTC.COm)讯：区块链安全机构慢雾(SlowMist)监测发现，BSC链上DeFi挖矿协议Little Boy Plus于6月18日遭黑客攻击，损失约37万美元(约610.5枚BNB)。慢雾指出，此次攻击的核心漏洞存在于LBPHashrate._update()函式中。
零值转帐绕过授权检查
慢雾分析指出，漏洞函式位于位址0x5e3c…85fe，问题出在该函式可被零值的transferFrom呼叫触发，从而绕过OpenZeppelin的授权检查机制。具体而言，攻击者无需取得交易对(pair)的授权，即可直接呼叫LBPHashrate.transferFrom(pair,DEAD,0)，触发内部的_harvest(pair)函式。
LBP代币铸造导致流动性失衡
_harvest(pair)函式随后透过LBP.mintReward(pair,reward)向PancakeSwap的流动性池位址直接铸造LBP代币。这批凭空产生的LBP增加了交易对的帐面余额，却未同步增加其实际储备，造成流动性池内的价格失衡。攻击者利用此一漏洞，透过PancakePair.swap()函式将池中的USDT全数提取一空。
