El pool PancakeSwap V2 para OCAUSDC en BSC fue explotado en una transacción sospechosa detectada hoy. El ataque resultó en la pérdida de casi 500.000 dólares en USDC del mercado, drenados en una sola transacción.
Según informes de plataformas de seguridad Blockchain, el atacante explotó una vulnerabilidad en la lógica deflacionaria sellOCA(), lo que le permitió manipular las reservas del pool. El monto final que el atacante logró llevarse fue de aproximadamente 422.000 dólares.
El exploit involucró el uso de flash loans y flash swaps combinados con múltiples llamadas a la función swapHelper de OCA. Esto eliminó tokens OCA directamente del pool de liquidez durante los swaps, inflando artificialmente el precio de OCA en el par y permitiendo el drenaje de USDC.
¿Cómo ocurrió el exploit de OCA/USDC?
Se informa que el ataque se ejecutó a través de tres transacciones. La primera se utilizó para llevar a cabo el exploit, y las dos siguientes sirvieron como sobornos adicionales para el builder.
“En total, se pagaron 43 BNB más 69 BNB a 48club-puissant-builder, dejando una ganancia final estimada de 340.000 dólares”, escribió Blocksec Phalcon en X sobre el incidente, agregando que otra transacción en el mismo bloque también falló en la posición 52, probablemente porque el atacante la adelantó (frontrun).
Los flash loans en PancakeSwap permiten a los usuarios pedir prestadas grandes cantidades de criptoactivos sin colateral; sin embargo, el monto prestado más las comisiones deben ser devueltos en el mismo bloque de transacción.
Principalmente se utilizan en estrategias de arbitraje y liquidación en Binance Smart Chain, y los préstamos usualmente se facilitan mediante la función de flash swap de PancakeSwap V3.
Otro ataque de flash loan fue detectado semanas atrás
En diciembre de 2025, un exploit permitió a un atacante retirar aproximadamente 138,6 WBNB del pool de liquidez de PancakeSwap para el par DMi/WBNB, obteniendo alrededor de 120.000 dólares.
Aquel ataque demostró cómo una combinación de flash loans y manipulación de las reservas internas del par AMM mediante funciones sync() y callback puede ser utilizada para vaciar completamente el pool.
El atacante primero creó el contrato del exploit y llamó a la función f0ded652(), un punto de entrada especializado del contrato, tras lo cual el contrato llamó a flashLoan desde el protocolo Moolah, solicitando aproximadamente 102.693 WBNB.
Al recibir el flash loan, el contrato inicia el callback onMoolahFlashLoan(…). Lo primero que hace el callback es averiguar el balance de tokens DMi en el pool de PancakeSwap para preparar la manipulación de las reservas del par.
Es importante señalar que la vulnerabilidad no está en el flash loan, sino en el contrato de PancakeSwap, permitiendo la manipulación de reservas mediante una combinación de flash swap y sync() sin protección contra callbacks maliciosos.
