Pool OLPC/LABUBU trên PancakeSwap bị tấn công
Pool thanh khoản OLPC/LABUBU trên PancakeSwap V2, thuộc BNB Chain, đã bị tấn công trong ngày hôm nay.
Theo dữ liệu ban đầu, vụ việc khiến khoảng 1,11 triệu USDT bị đánh cắp, trong khi lợi nhuận ròng của kẻ tấn công được ước tính khoảng 960.000 USD.
Các cuộc điều tra on-chain hiện chưa xác định chắc chắn nguyên nhân gốc rễ của sự cố.
Tuy nhiên, dòng tiền cho thấy một cơ chế bất thường đã được kích hoạt trong cặp giao dịch OLPC/LABUBU, liên quan đến việc chuyển khoảng 10 token OLPC thông qua hợp đồng của kẻ tấn công.
Hàng chục triệu token bị đốt khỏi pool
Sau giao dịch bất thường, khoảng 51,9 triệu OLPC và 124.000 LABUBU đã bị đốt từ địa chỉ pool OLPC/LABUBU 0xedb7…f365 sang địa chỉ 0x…dead.
Theo các chuyên gia, mô hình tấn công có thể liên quan đến token giảm phát hoặc token có cơ chế đốt khi chuyển khoản.
Trong các pool thanh khoản dùng cơ chế dự trữ cố định, việc token bị đốt trong quá trình chuyển có thể tạo ra chênh lệch giữa số dư thực tế và dữ liệu dự trữ được ghi nhận.
Sự không đồng bộ này có thể tạo cơ hội để kẻ tấn công thao túng pool.
🚨🚨🚨Security Alert: OLPC/LABUBU PancakeSwap V2 Pool Drain
On June 20, 2026, a PancakeSwap V2 pool pairing OLPC against LABUBU was exploited on BNB Chain, resulting in the theft of USDT valued at ~$1.11M (attacker net ~$960K).
🔍 Root Cause
Under investigation. On-chain fund…— ExVul (@exvulsec) June 20, 2026
Tài sản bị chuyển qua Tornado Cash
Sau khi khai thác lỗ hổng, kẻ tấn công đã rút phần LABUBU trong pool, sau đó chuyển đổi tài sản thông qua các pool LABUBU/WBNB và WBNB/USDT.
Tổng số tiền thu được là 1.115.903 USDT.
Theo báo cáo, kẻ tấn công sau đó đã bridge tài sản sang mạng Ethereum và gửi 633,4 ETH vào Tornado Cash.
Ngoài ra, người này cũng được cho là đã gửi 0,0221 BNB và 0,0411 ETH đến một địa chỉ đốt được chỉ định.
Vụ việc cho thấy các pool chứa token có cơ chế đốt hoặc giảm phát vẫn tiềm ẩn rủi ro kỹ thuật lớn, đặc biệt khi dữ liệu dự trữ không được đồng bộ chính xác sau mỗi giao dịch.
