今天在一筆可疑交易中，PancakeSwap V2上BSC鏈的OCAUSDC流動性池遭到攻擊。此次攻擊導致近50萬美元價值的USDC市場在一筆交易中被抽乾。
根據區塊鏈安全平台的報告，攻擊者利用了deflationary sellOCA()邏輯中的漏洞，使其能夠操控流動性池的儲備。據報導，攻擊者最終獲得的金額約為42.2萬美元。
這次攻擊涉及閃電貸與閃兌操作，並結合多次調用OCA的swapHelper函數。在兌換過程中，這直接從流動性池移除了OCA代幣，人為抬高了OCA的對盤價格，從而實現了USDC的抽取。
OCA/USDC漏洞是如何發生的？
據報導，這次攻擊通過三筆交易執行。第一筆用於實施漏洞，其餘兩筆則作為額外的建設者賄賂。
「總共43 BNB加上69 BNB支付給48club-puissant-builder，留下約34萬美元的最終利潤，」Blocksec Phalcon在X上針對此次事件寫道，並補充說同區塊內的另一筆交易在第52個位置也失敗了，很可能是因為被攻擊者搶先了。
PancakeSwap上的閃電貸允許用戶在無需抵押的情況下借入大量加密資產；但借款金額加上手續費必須在同一個區塊中償還。
這類貸款主要用於Binance Smart Chain上的套利和清算策略，通常通過PancakeSwap V3的閃兌功能提供。
數週前又有一次閃電貸攻擊被發現
2025年12月，一次漏洞使攻擊者從PancakeSwap上DMi/WBNB流動性池提取了約138.6 WBNB，獲利約12萬美元。
該攻擊展現了如何結合閃電貸和通過sync()及callback函數操縱AMM交易對的內部儲備，從而徹底耗盡流動性池資產。
攻擊者首先創建了漏洞合約並調用f0ded652()函數，這是進入該合約的特殊入口點，隨後該合約調用了Moolah協議的flashLoan函數，請求約102,693 WBNB。
收到閃電貸後，合約啟動onMoolahFlashLoan(…)回調。該回調首先會查詢PancakeSwap池內的DMi代幣餘額，以為後續的交易對儲備操縱做準備。
需要注意的是，漏洞並不在於閃電貸本身，而是在PancakeSwap合約中，允許通過閃兌與sync()的組合，且缺乏對惡意回調的保護，進行儲備操縱。
