O Dreno de US$1.1M do LABUBI no PancakeSwap Foi uma Bomba-Relógio de 46 Dias. Os Sinais On-Chain Estavam Lá

Em 20 de junho, o par de negociação OLPC e LABUBI no PancakeSwap V2, operando na BNB Chain, foi drenado de aproximadamente 1.1 milhão de dólares, com o atacante convertendo os lucros em cerca de 1.115.903 USDT. De acordo com a análise on-chain que circulou após o incidente, os fundos foram então transferidos da BNB Chain para o Ethereum e 633.4 ETH foram depositados no Tornado Cash. O número principal é comum para os padrões de 2026. O que torna este caso digno de uma análise aprofundada é que não foi uma exploração súbita de um bug oculto. Foi uma configuração lenta e premeditada, escondida à vista de todos.

Um parâmetro foi alterado 46 dias antes do ataque

O mecanismo se resumiu a um único valor mutável no contrato do token OLPC. Aproximadamente 46 dias antes do dreno, o proprietário do contrato aumentou um parâmetro interno, relatado como decimalsValue, de seu valor normal de 1 para um número enorme, 7326680472586200649. Essa mudança amplificou silenciosamente quantos tokens foram queimados durante as operações comuns. Quando finalmente foi acionada, a análise descreve uma queima anormal de cerca de 51.9 milhões de OLPC e 124.000 tokens LABUBI para um endereço morto. Essa queima distorceu as reservas do pool, e o atacante interveio para explorar o desequilíbrio.

O detalhe que transforma um bug em um plano é o que veio a seguir. Depois de configurar o parâmetro malicioso, o proprietário renunciou à propriedade do contrato. A renúncia é geralmente comercializada como um sinal de confiança, prova de que ninguém pode mais mudar as regras. Aqui, fez o oposto: travou a bomba-relógio no lugar e tornou qualquer reversão impossível.

Por que esta é uma história de detecção, não apenas uma história de hack

A maioria das coberturas de exploits para na perda. O ponto mais útil para qualquer pessoa que negocia novos tokens é que o perigo era estrutural e observável. Um contrato de token que permite ao deployer alterar um parâmetro que afeta o fornecimento é um risco constante, não importa quão calmo o gráfico pareça. Uma renúncia de propriedade que ocorre após uma mudança suspeita não é uma garantia, é um bloqueio sobre o que foi configurado previamente. Ambos são exatamente o tipo de sinais que uma auditoria de contrato automatizada é construída para identificar.

É por isso que publicamos o Rug and Scam Rate Index, que rastreia a porcentagem de tokens lançados recentemente que carregam uma bandeira de segurança crítica, e por que o status de propriedade é um dos campos que ele relata. Na leitura mais recente, uma grande maioria dos tokens recentes ainda não renunciou à propriedade, o que significa que o deployer mantém o controle, a pré-condição para exatamente esse tipo de configuração. O status de renúncia sozinho nunca é a história completa, como o caso LABUBI mostra, mas combinado com a autoridade mutável de cunhagem ou queima, é uma das luzes de alerta mais claras em um contrato.

Como verificar antes de você ser a liquidez de saída

Você não pode ler Solidity em cada token que toca, mas pode executar as verificações importantes em menos de um minuto. Passe qualquer contrato pelo Token Safety Checker do DEXTools para ver seu status de honeypot, cunhagem e propriedade. Fique atento a contratos onde o proprietário ainda pode alterar o comportamento de fornecimento, e trate uma renúncia recente de propriedade como uma questão a ser investigada, em vez de uma luz verde. Nosso guia sobre como identificar um rug pull percorre a lista de verificação manual completa, e liquidity pull versus slow rug aborda a diferença entre um dreno súbito e um paciente como este.

O dreno LABUBI é um lembrete de que os contratos mais perigosos nem sempre são aqueles que parecem quebrados hoje. Às vezes, são aqueles que foram silenciosamente armados semanas atrás. Este artigo é apenas para fins informativos e não constitui aconselhamento financeiro.