Une « autodestruction » soigneusement conçue : Analyse de l'attaque PGNLZ

marsbitDipublikasikan tanggal 2026-01-28Terakhir diperbarui pada 2026-01-28

Abstrak

Une attaque soigneusement planifiée contre le projet PGNLZ sur BNB Smart Chain a été détectée le 27 janvier 2026, causant une perte d’environ 100 000 USD. L’attaquant a utilisé un flash loan de 1 059 BTCB via Moolah Protocol, puis les a déposés comme garantie sur Venus Protocol pour emprunter 30 000 000 USDT. Ensuite, l’attaquant a échangé 23 337 952 USDT contre 982 506 PGNLZ sur PancakeSwap, mais a immédiatement brûlé ces tokens (en les envoyant à l’adresse 0xdead). Cette action a drastiquement réduit l’offre de PGNLZ dans le pool, faisant monter son prix de 0,1 USDT à 5 528 USDT. L’attaquant a ensuite exploité la fonction de taxe de vente (Fee-On Transfer) du token, qui déclenchait un mécanisme de brûlage (_executeBurnFromLP) supprimant presque entièrement les tokens restants du pool. Le prix a alors été artificiellement gonflé à 234 385 300 000 000 USDT par PGNLZ, permettant à l’attaquant de vider le pool et de réaliser un profit après remboursement du prêt. La cause principale de cette vulnérabilité est un modèle économique déflationniste mal sécurisé, sans vérification adéquate lors des opérations de taxation ou de brûlage. Il est recommandé aux projets de bien valider leurs mécanismes économiques et de réaliser des audits croisés avant le déploiement.

Contexte

Le 27 janvier 2026, nous avons détecté une attaque sur le projet PGNLZ sur le BNB Smart Chain :

https://bscscan.com/tx/0xa7488ff4d6a85bf19994748837713c710650378383530ae709aec628023cd7cc

Après une analyse détaillée, l'attaquant a lancé une attaque soutenue contre le projet PGNLZ le 27 janvier 2026, causant une perte d'environ 100 000 USD.

Analyse de l'attaque et de l'événement

L'attaquant a d'abord emprunté 1 059 BTCB via un flash loan auprès de Moolah Protocol,

Puis, il a déposé ces 1 059 BTCB en collatéral sur Venus Protocol pour emprunter 30 000 000 USDT.

Ensuite, l'attaquant a appelé la fonction `swapTokensForExactTokens` sur PancakeSwap, utilisant 23 337 952 USDT pour échanger contre 982 506 PGNLZ, mais a ensuite brûlé ces PGNLZ (en les envoyant à l'adresse 0xdead).

Avant l'échange, le pool PancakeSwap contenait 100 901 USDT et 982 506 PGNLZ, le prix du PGNLZ était donc de 1 PGNLZ = 0,1 USDT. Après l'échange, le pool PancakeSwap contenait 23 438 853 USDT et 4 240 PGNLZ, le prix du PGNLZ est alors passé à 1 PGNLZ = 5 528 USDT.

Par la suite, l'attaquant a appelé la fonction `swapExactTokensForTokensSupportingFeeOnTransferTokens`, une fonction conçue pour prendre en charge les tokens avec frais de transfert (Fee-On Transfer Token). PGNLZ utilise `_update` pour gérer les frais de transaction, la chaîne d'appel spécifique étant : `transferFrom` -> `_spendAllowance` -> `_transfer` -> `_update`.

Comme il s'agissait d'une vente (sell), la fonction `_handleSellTax` a été appelée.

Examinons comment `_executeBurnFromLP` est implémentée,

On peut voir que `_executeBurnFromLP` utilise `_update` pour brûler la quantité de PGNLZ définie par `pendingBurnFromLP`. Le bloc précédent indiquait que `pendingBurnFromLP` était de 4 240 113 074 578 781 194 669.

Après le burn, il ne restait plus que 0,00000001 PGNLZ dans le pool de liquidité (LP Pool), le prix est alors passé à 1 PGNLZ = 234 385 300 000 000 USDT, soit une multiplication par 40 milliards.

Enfin, l'attaquant a vidé le LP Pool, a remboursé le flash loan, et a réalisé un profit de 100 000 USDT.

Conclusion

La cause de cette vulnérabilité réside dans le modèle économique déflationniste, qui ne valide pas les frais prélevés ou la combustion du pool de liquidité. Cela a permis à l'attaquant de manipuler le prix du token en exploitant ses caractéristiques déflationnistes. Il est recommandé aux projets de valider minutieusement la conception de leur modèle économique et la logique d'exécution du code, et de privilégier un audit croisé par plusieurs sociétés d'audit avant le déploiement du contrat.

Kripto yang Sedang Tren

Pertanyaan Terkait

QQuel est la cause principale de l'attaque contre le projet PGNLZ sur BNB Smart Chain ?

ALa cause principale est le modèle économique déflationniste du token, avec une vulnérabilité dans la vérification lors des frais de transaction ou de la destruction des tokens du pool de liquidité, permettant à l'attaquant de manipuler le prix.

QComment l'attaquant a-t-il initialement obtenu les fonds pour lancer l'attaque ?

AL'attaquant a obtenu un flash loan de 1 059 BTCB auprès de Moolah Protocol, qu'il a ensuite utilisé comme garantie pour emprunter 30 000 000 USDT sur Venus Protocol.

QQuelle action spécifique a provoqué l'augmentation massive du prix du PGNLZ ?

AL'attaquant a brûlé une énorme quantité de PGNLZ (4 240 113 074 578 781 194 669 tokens) via la fonction _executeBurnFromLP, ne laissant que 0,00000001 PGNLZ dans le pool, ce qui a fait monter le prix de 40 milliards de fois.

QQuel était le prix du PGNLZ avant et après la manipulation par l'attaquant ?

AAvant la manipulation : 1 PGNLZ = 0,1 USDT. Après la manipulation : 1 PGNLZ = 234 385 300 000 000 USDT.

QQuelle est la recommandation principale pour éviter ce type d'attaque à l'avenir ?

AIl est recommandé de valider soigneusement le modèle économique et la logique du code, et de faire auditer le contrat par plusieurs sociétés d'audit différentes avant son déploiement.

Bacaan Terkait

Dia yang Memberi Wang Xingxing 2 Juta Pertama, Kini Menjadi Ketua Dewan untuk "Yushu" Berikutnya

Pada 19 Agustus, perusahaan robot humanoid pertama di pasar saham A China, Unitree Robotics, resmi melantai di bursa. Yin Fangming, investor awal yang memberi pendanaan angel pertama sebesar 2 juta yuan (sekitar 15% saham) kepada pendiri Wang Xingxing pada 2016 ketika Unitree kesulitan dana, kini menuai hasil investasinya. Perhitungan berdasarkan harga IPO menunjukkan, total pengembalian investasinya mencapai sekitar 280 juta yuan, atau 140 kali lipat. Namun, Yin Fangming bukan hanya investor sukses. Ia juga pernah menjadi co-founder ROOBO, perusahaan robot AI yang sempat mendapat pendanaan besar namun akhirnya menghadapi tantangan bisnis. Pengalamannya sebagai entrepreneur di bidang hardware robot membantunya mengenali potensi Unitree yang mengutamakan penelitian mandiri dan kontrol biaya hardware. Selain Unitree, Yin aktif berinvestasi di bidang energi dan aerospace. Namun, langkah terbaru dan terpentingnya adalah menjadi Chairman Galaxy General Intelligence (Galaxy通用), unicorn kecerdasan embodied yang didirikan 2023 dan telah mendapat pendanaan lebih dari 6,96 miliar yuan. Penunjukannya sebagai Chairman mengindikasikan keterlibatan mendalam dalam strategi perusahaan, tidak sekadar sebagai investor. Perubahan besar dalam manajemen Galaxy通用 ini juga dikabarkan sebagai persiapan untuk langkah kapital berikutnya. Dengan latar belakang karir di industri telepon seluler dan internet mobile (seperti di Sougou dan 360), Yin terkenal karena kemampuannya membaca tren teknologi berikutnya. Ia meninggalkan puncak karir di internet mobile untuk merintis usaha di bidang AI, meyakini itulah masa depan dekade berikutnya. Meski rendah profil dan menolak wawancara, pesannya jelas: mendukung entrepreneur robot berbakat seperti Wang Xingxing.

marsbit11m yang lalu

Dia yang Memberi Wang Xingxing 2 Juta Pertama, Kini Menjadi Ketua Dewan untuk "Yushu" Berikutnya

marsbit11m yang lalu

Refleksi Pencurian Coldcard: Kode Terlihat Bukan Berarti Aman

**Refleksi Pencurian Coldcard: Kode Terlihat Belum Tentu Aman** Insiden pencurian dompet keras Coldcard yang menyebabkan kerugian lebih dari $100 juta mengungkap kesalahpahaman umum dalam komunitas Bitcoin: kode yang terbuka (source available) tidak sama dengan perangkat lunak sumber terbuka (open source/FOSS) yang aman. Coldcard menggunakan lisensi MIT dengan klausa tambahan yang membatasi penggunaan komersial, menjadikannya "source available" tetapi bukan open source sepenuhnya. Hal ini mengurangi insentif bagi pihak ketiga untuk mengaudit kodenya secara mendalam. Bug kritis dalam pustaka `libngu` tetap tak terdeteksi selama sekitar lima tahun karena kurangnya tinjauan eksternal, meskipun kodenya dapat diakses publik. Prinsip open source menekankan empat kebebasan pengguna, termasuk hak untuk mempelajari, mengubah, dan mendistribusikan ulang kode. Namun, keamanan sejati tidak otomatis tercipta hanya dengan membuka kode; keamanan membutuhkan insentif ekonomi dan upaya kolektif untuk memverifikasi. Proyek seperti Bitcoin Core menunjukkan praktik terbaik di mana pengembangan transparan dan tinjauan sejawat yang ketat membangun kepercayaan. Insiden ini menyoroti "tragedi kepemilikan bersama" di mana setiap pengguna mengandalkan orang lain untuk mengaudit, tetapi tidak ada yang benar-benar melakukannya. Dalam ekosistem bernilai tinggi seperti Bitcoin, pilihan lisensi yang membatasi dapat mengurangi pool auditor potensial, menggeser tanggung jawab ke perusahaan itu sendiri. Perkembangan AI mengubah lanskap ini. Proyek Bitcoin Red Team menunjukkan bahwa AI dapat membantu peninjauan kode secara masif. Namun, AI juga membanjiri pemelihara proyek dengan kode yang dihasilkan otomatis, meningkatkan beban verifikasi. Keunggulan keamanan melalui ketidakjelasan (security through obscurity) pada kode tertutup juga semakin terkikis oleh kemampuan AI. Kesimpulannya, visibilitas kode hanyalah langkah pertama. Keamanan yang sebenarnya dalam keuangan digital memerlukan model lisensi yang mendorong insentif audit, budaya pengembangan yang transparan, dan mungkin, adopsi alat bantu AI untuk analisis yang lebih komprehensif. Hanya proyek yang diaudit dengan baik yang dapat bertahan di lingkungan yang semakin kompetitif dan penuh tekanan ini.

marsbit22m yang lalu

Refleksi Pencurian Coldcard: Kode Terlihat Bukan Berarti Aman

marsbit22m yang lalu

Trading

Spot

Artikel Populer

Apa Itu $WELL

WELL3, $$WELL: Merevolusi Kesehatan dan Kesejahteraan dengan DePIN dan AI Pendahuluan Dalam lanskap teknologi digital yang cepat berkembang, sektor kesehatan dan kesejahteraan berada di garis depan inovasi, berusaha untuk meningkatkan perawatan pasien dan mempromosikan gaya hidup yang lebih sehat. Pemain terobosan dalam domain ini adalah WELL3, sebuah proyek Web3 pionir yang bertujuan untuk merevolusi cara individu berinteraksi dengan kesehatan mereka. Dengan memanfaatkan teknologi seperti Jaringan Infrastruktur Fisik Terdesentralisasi (DePIN), Identitas Terdesentralisasi (DID), dan Kecerdasan Buatan (AI), WELL3 bertujuan untuk memfasilitasi perjalanan kesehatan yang aman dan didorong oleh data. Artikel komprehensif ini membahas aspek inti dari WELL3, $$WELL, mengeksplorasi fungsionalitas, pencipta, investor, dan fitur uniknya. Apa itu WELL3, $$WELL? WELL3 berfungsi sebagai platform inovatif yang akan mendefinisikan ulang pendekatan terhadap kesehatan dan kesejahteraan. Berfokus pada integrasi DePIN dan DID bersama sistem AI, proyek ini dirancang untuk menciptakan pengalaman pengguna yang dipersonalisasi sambil memastikan keamanan dan privasi data kesehatan individu. Dengan jumlah pengguna terdaftar sebelumnya yang mengesankan lebih dari satu juta, misi utama WELL3 berkisar pada peningkatan kesejahteraan melalui perjalanan kesehatan yang aman dan didorong oleh data. Di intinya, WELL3 menggunakan teknologi blockchain canggih untuk memastikan bahwa pengguna memiliki kontrol penuh atas informasi pribadi mereka. Proyek ini tidak hanya mengatasi tantangan keamanan dan aksesibilitas data, tetapi juga beraspirasi untuk menciptakan komunitas yang hidup yang terhubung dengan komitmen bersama untuk kesehatan yang lebih baik. Fitur Utama dari WELL3: DePIN dan DID: Teknologi ini memungkinkan kepemilikan dan autentikasi data yang aman, memberikan pengguna kontrol penuh atas informasi mereka. Integrasi AI: Menggunakan analitik AI, WELL3 menawarkan wawasan dan solusi yang dipersonalisasi yang disesuaikan dengan kebutuhan kesehatan individu. Keterlibatan Komunitas: Memfasilitasi lingkungan yang mendukung di mana pengguna dapat terhubung, berbagi pengalaman, dan memotivasi satu sama lain menuju kehidupan yang lebih sehat. Pencipta WELL3, $$WELL Identitas pencipta WELL3 masih belum spesifik dalam informasi yang tersedia. Seiring perkembangan proyek, rincian lebih lanjut mungkin muncul, memberikan cahaya pada pikiran visioner di balik inisiatif transformasi ini. Investor WELL3, $$WELL WELL3 telah mendapatkan dukungan dari berbagai entitas investasi yang berpengaruh, menyoroti kredibilitas dan potensi dalam ruang kesehatan dan kesejahteraan. Investor terkenal mencakup: Animoca Brands AWS Samsung The Spartan Group Blocore Fenbushi Capital Newman Group Soul Capital XY Finance Lumoz Dukungan dari organisasi terkemuka ini menunjukkan keyakinan yang kuat terhadap misi WELL3, memberikan sumber daya yang diperlukan untuk berinovasi dan memperluas penawarannya. Bagaimana Cara Kerja WELL3, $$WELL? WELL3 beroperasi dengan menggabungkan teknologi-teknologi terkini dalam sebuah kerangka multichain, memastikan pengalaman pengguna yang mulus dan inovatif. Berikut adalah beberapa faktor yang memposisikan WELL3 secara unik di pasar kesejahteraan: Kepemilikan Data yang Aman Dengan integrasi DePIN dan DID, pengguna dapat mempertahankan kontrol penuh atas informasi kesehatan pribadi mereka. Lapisan keamanan ini sangat penting di era digital saat ini, di mana pelanggaran data dan akses tidak sah marak terjadi. Melalui WELL3, kepemilikan data didesentralisasi, memungkinkan pengguna untuk mengelola informasi mereka secara proaktif. Personalisasi melalui AI WELL3 menerapkan analitik yang didorong oleh AI untuk memberikan pengguna wawasan kesehatan yang disesuaikan. Dengan memanfaatkan kekuatan AI, platform dapat menawarkan rekomendasi dan solusi yang dipersonalisasi, mendorong pengguna untuk mencapai tujuan kesehatan mereka dengan lebih efektif. Kerangka Multichain Proyek WELL3 dirancang untuk bekerja di berbagai platform blockchain, termasuk Bitcoin, Ethereum, Polygon, Solana, Blast, dan TON. Kemampuan multichain ini memastikan bahwa pengguna dapat berinteraksi dengan platform tersebut secara mulus di berbagai jaringan, meningkatkan aksesibilitas dan kegunaan. Token WELL Sentral dalam ekosistem WELL3 adalah Token WELL, yang berfungsi ganda termasuk utilitas, tata kelola, dan penghargaan. Token ini memungkinkan partisipasi ekosistem, mendukung berbagi data kesehatan, dan memberikan insentif kepada pengguna berdasarkan keterlibatan mereka dengan platform. Garis Waktu WELL3, $$WELL Jalur WELL3 menunjukkan tonggak signifikan dalam pengembangannya, masing-masing berkontribusi pada kesuksesan keseluruhan proyek. Berikut adalah garis waktu singkat peristiwa kritis dalam sejarah WELL3: 10 Februari 2024: WELL3 meluncurkan proyek NFT-nya, dengan cepat menjadi koleksi NFT terbesar di rantai opBNB dengan lebih dari 324.000 pemilik dan mencapai 8 juta NFT yang dibuat pada 27 April 2024. Penjualan Publik: Proyek ini mencapai nilai total yang dikunci (TVL) yang luar biasa sekitar 15.237,2 ETH hanya dalam tujuh hari, menunjukkan minat pasar yang kuat dan dukungan. Peluncuran WELL ID: Platform ini melihat lebih dari 900.000 pengguna mendaftar untuk WELL ID dan whitelist NFT Ring yang bersangkutan, menandai fase adopsi yang signifikan dalam ekosistem. Pembangunan Kemitraan: WELL3 menjalin kemitraan dengan entitas terkemuka termasuk Animoca Brands, AWS, Samsung, dan lainnya untuk meningkatkan ekosistemnya dan memperluas jangkauannya. Volume Transaksi: WELL3 telah memfasilitasi lebih dari $17 juta dalam transaksi, mencerminkan utilitas dan keterlibatan yang berkembang dalam komunitas kesehatan dan kesejahteraan. Poin Kunci tentang WELL3, $$WELL Sebagai inisiatif progresif yang beralih menuju pasar kesejahteraan, WELL3 telah mengidentifikasi beberapa elemen penting yang akan berkontribusi pada keberhasilan berkelanjutannya. Berikut adalah beberapa kesimpulan kunci untuk dicatat: Tokenomik Token $$WELL memiliki pasokan maksimum 42 miliar, dengan 71% dialokasikan untuk inisiatif komunitas. Strategi distribusi ini menekankan komitmen proyek terhadap basis penggunanya dan keberlanjutan jangka panjang. Periode Kunci Untuk memastikan stabilitas dalam ekosistem, token dirilis dalam batch selama periode kunci 24 bulan, mempromosikan kepercayaan dan keyakinan di antara pengguna. Pembangunan Ekosistem Visi WELL3 meluas ke arah menciptakan ekosistem yang komprehensif dan berkelanjutan untuk mendorong keterlibatan komunitas yang sukses, perilaku yang meningkatkan kesehatan, dan solusi digital yang menjawab kebutuhan mendesak dalam domain kesejahteraan. Kesesuaian Pasar Industri kesejahteraan, yang bernilai $5,6 triliun, menawarkan peluang menguntungkan yang ingin dimanfaatkan oleh WELL3. Dengan perkiraan tingkat pertumbuhan tahunan 5-10%, proyek ini berada pada posisi yang ideal di tengah tren yang meningkat menuju kehidupan yang sadar kesehatan. Pakai Memperkenalkan WELL3 Ring, sebuah wearable yang diberi insentif kripto, sejalan dengan permintaan yang berkembang untuk data kesehatan yang dipersonalisasi. Perangkat ini tidak hanya meningkatkan pengalaman pengguna tetapi juga mendefinisikan ulang apa artinya terlibat dengan kesehatan seseorang dalam konteks Web3. Kesimpulan WELL3 merupakan kemajuan signifikan dalam integrasi teknologi blockchain dalam sektor kesehatan dan kesejahteraan. Dengan mengatasi isu-isu penting mengenai kepemilikan data, personalisasi, dan keterlibatan komunitas, platform inovatif ini menawarkan solusi berpikiran maju untuk meningkatkan kesejahteraan individu. Dengan dukungan yang kuat dari investor terkenal dan komitmen untuk teknologi terdepan, WELL3 berada dalam posisi untuk memberikan dampak yang langgeng di lanskap kesejahteraan. Bagi mereka yang ingin menavigasi kompleksitas kesehatan di era digital, WELL3 pasti patut diperhatikan saat terus berkembang dan tumbuh.

201 Total TayanganDipublikasikan pada 2024.07.14Diperbarui pada 2024.12.03

Apa Itu $WELL

Cara Membeli WELL

Selamat datang di HTX.com! Kami telah membuat pembelian Moonwell Artemis (WELL) menjadi mudah dan nyaman. Ikuti panduan langkah demi langkah kami untuk memulai perjalanan kripto Anda.Langkah 1: Buat Akun HTX AndaGunakan alamat email atau nomor ponsel Anda untuk mendaftar akun gratis di HTX. Rasakan perjalanan pendaftaran yang mudah dan buka semua fitur.Dapatkan Akun SayaLangkah 2: Buka Beli Kripto, lalu Pilih Metode Pembayaran AndaKartu Kredit/Debit: Gunakan Visa atau Mastercard Anda untuk membeli Moonwell Artemis (WELL) secara instan.Saldo: Gunakan dana dari saldo akun HTX Anda untuk melakukan trading dengan lancar.Pihak Ketiga: Kami telah menambahkan metode pembayaran populer seperti Google Pay dan Apple Pay untuk meningkatkan kenyamanan.P2P: Lakukan trading langsung dengan pengguna lain di HTX.Over-the-Counter (OTC): Kami menawarkan layanan yang dibuat khusus dan kurs yang kompetitif bagi para trader.Langkah 3: Simpan Moonwell Artemis (WELL) AndaSetelah melakukan pembelian, simpan Moonwell Artemis (WELL) di akun HTX Anda. Selain itu, Anda dapat mengirimkannya ke tempat lain melalui transfer blockchain atau menggunakannya untuk memperdagangkan mata uang kripto lainnya.Langkah 4: Lakukan trading Moonwell Artemis (WELL)Lakukan trading Moonwell Artemis (WELL) dengan mudah di pasar spot HTX. Cukup akses akun Anda, pilih pasangan perdagangan, jalankan trading, lalu pantau secara real-time. Kami menawarkan pengalaman yang ramah pengguna baik untuk pemula maupun trader berpengalaman.

375 Total TayanganDipublikasikan pada 2024.12.10Diperbarui pada 2026.06.02

Cara Membeli WELL

Diskusi

Selamat datang di Komunitas HTX. Di sini, Anda bisa terus mendapatkan informasi terbaru tentang perkembangan platform terkini dan mendapatkan akses ke wawasan pasar profesional. Pendapat pengguna mengenai harga WELL (WELL) disajikan di bawah ini.

活动图片