🚨 ALERTA DE EXPLOTACIÓN: CashCowCoin drenado por ~$117K
Otro día, otro rug. El atacante explotó una implementación de router no verificada y de mala calidad en BSC.
Cómo sucedió:
• La función sell() del router estaba fundamentalmente rota
• Después de intercambiar $CCC → $WBNB en PancakeSwap, el proxy llamó una función de token privilegiada que envió TODO el $CCC post-impuesto desde la Pair directamente a una dirección muerta
• Luego llamó Pair.sync() — quemando el $CCC del lado de venta mientras mantenía las reservas de $WBNB reducidas
• El atacante repitió este proceso 80 veces, drenando las reservas hasta dejarlas secas
Direcciones clave:
🔴 EOA del atacante: 0x7977bdeee3a79dc85cc18739692e796b5d2513c4
🔴 Contrato del ataque: 0x7738b4d7c25e9a7092ae1ab402343b20340daeaf
🔴 Proxy explotado: 0xf523224c6171f81c54b93f474ed4c78de91241c7
🔴 Implementación vulnerable: 0x4287742e50fad6d3351000fd31632412ab29a9ac
🔴 Pair víctima (CCC/WBNB): 0x1dbe9458a6840784d5defd62c6b71386100097c0
🔴 Repartidor de ganancias (mantiene fondos): 0xbabf70e515ae71a2177e624994a68d10c61d7a9f
Lección: Contratos no verificados = liquidez de salida. Investiga (DYOR) o te arruinan.
vía @SlowMist_Team
Otro día, otro rug. El atacante explotó una implementación de router no verificada y de mala calidad en BSC.
Cómo sucedió:
• La función sell() del router estaba fundamentalmente rota
• Después de intercambiar $CCC → $WBNB en PancakeSwap, el proxy llamó una función de token privilegiada que envió TODO el $CCC post-impuesto desde la Pair directamente a una dirección muerta
• Luego llamó Pair.sync() — quemando el $CCC del lado de venta mientras mantenía las reservas de $WBNB reducidas
• El atacante repitió este proceso 80 veces, drenando las reservas hasta dejarlas secas
Direcciones clave:
🔴 EOA del atacante: 0x7977bdeee3a79dc85cc18739692e796b5d2513c4
🔴 Contrato del ataque: 0x7738b4d7c25e9a7092ae1ab402343b20340daeaf
🔴 Proxy explotado: 0xf523224c6171f81c54b93f474ed4c78de91241c7
🔴 Implementación vulnerable: 0x4287742e50fad6d3351000fd31632412ab29a9ac
🔴 Pair víctima (CCC/WBNB): 0x1dbe9458a6840784d5defd62c6b71386100097c0
🔴 Repartidor de ganancias (mantiene fondos): 0xbabf70e515ae71a2177e624994a68d10c61d7a9f
Lección: Contratos no verificados = liquidez de salida. Investiga (DYOR) o te arruinan.
vía @SlowMist_Team