Una "autodestrucción" cuidadosamente diseñada: Análisis del ataque a PGNLZ

marsbitОпубліковано о 2026-01-28Востаннє оновлено о 2026-01-28

Анотація

Resumen del ataque a PGNLZ (26 de enero de 2026): Un atacante explotó un error en el modelo económico deflacionario del token PGNLZ en BNB Smart Chain, causando pérdidas de aproximadamente 100.000 USD. Tras obtener un flash loan de 1.059 BTCB y 30 millones de USDT, el atacante intercambió 23,3 millones de USDT por 982.506 PGNLZ en PancakeSwap y luego los quemó, alterando drásticamente el ratio del pool. Mediante la función de quema automática en las transacciones (_executeBurnFromLP), se eliminaron grandes cantidades de PGNLZ del pool de liquidez, inflando artificialmente el precio del token en 40 mil millones de veces. Finalmente, el atacante vació el pool, pagó el préstamo y obtuvo ganancias. La vulnerabilidad radicó en la falta de validación durante las operaciones de quema y comisiones. Se recomienda a los proyectos validar exhaustivamente los modelos económicos y realizar auditorías múltiples.

Introducción

El 27 de enero de 2026, detectamos un ataque en BNB Smart Chain contra el proyecto PGNLZ:

https://bscscan.com/tx/0xa7488ff4d6a85bf19994748837713c710650378383530ae709aec628023cd7cc

Tras un análisis detallado, el atacante llevó a cabo un ataque continuo contra el proyecto PGNLZ el 27 de enero de 2026, causando pérdidas de aproximadamente 100.000 USD.

Análisis del ataque y eventos

El atacante primero tomó un préstamo flash de 1.059 BTCB del Protocolo Moolah,

Posteriormente, depositó como garantía 1.059 BTCB en Venus Protocol, para tomar prestados 30.000.000 USDT.

A continuación, el atacante llamó a la función swapTokensForExactTokens en PancakeSwap, utilizando 23.337.952 USDT para cambiar por 982.506 PGNLZ, pero luego destruyó estos PGNLZ (los envió a 0xdead).

Antes del intercambio, el Pool de PancakeSwap tenía 100.901 USDT y 982.506 PGNLZ, momento en el que el precio de PGNLZ era de 1 PGNLZ = 0,1 USDT. Después del intercambio, el Pool de PancakeSwap quedó con 23.438.853 USDT y 4.240 PGNLZ, momento en el que el precio de PGNLZ era de 1 PGNLZ = 5.528 USDT.

Posteriormente, el atacante llamó a la función swapExactTokensForTokensSupportingFeeOnTransferTokens, una función diseñada principalmente para admitir tokens con tarifas en las transferencias (Fee-On Transfer Token). PGNLZ utiliza _update para manejar las tarifas de las transacciones, y la cadena de llamadas es: transferFrom -> _spendAllowance -> _transfer -> _update

Como esta operación era una venta (sell), se llamó a _handleSellTax.

Veamos cómo se implementa _executeBurnFromLP,

Se puede observar que _executeBurnFromLP utiliza _update para quemar (burn) la cantidad de PGNLZ especificada en pendingBurnFromLP. En el bloque anterior, se consultó que pendingBurnFromLP era 4.240.113.074.578.781.194.669.

Después de la quema, el LP Pool solo quedó con 0,00000001 PGNLZ, momento en el que 1 PGNLZ = 234.385.300.000.000 USDT, un aumento de 40 mil millones de veces.

Finalmente, el atacante vació el LP Pool, pagó el préstamo flash y obtuvo una ganancia de 100.000 USDT.

Conclusión

La causa de esta vulnerabilidad fue el modelo económico deflacionario, que no realizaba las verificaciones adecuadas al deducir tarifas o quemar el LP Pool. Esto permitió al atacante manipular el precio del Token aprovechando la característica deflacionaria. Se recomienda a los proyectos validar exhaustivamente el diseño del modelo económico y la lógica de ejecución del código, y optar por auditorías cruzadas de múltiples empresas de auditoría antes de lanzar el contrato.

Пов'язані питання

Q¿Qué es el ataque PGNLZ y cuándo ocurrió?

AEl ataque PGNLZ fue un exploit dirigido al proyecto PGNLZ en BNB Smart Chain, ocurrido el 27 de enero de 2026, que resultó en pérdidas de aproximadamente 100,000 USD.

Q¿Cómo manipuló el atacante el precio del token PGNLZ?

AEl atacante quemó una gran cantidad de tokens PGNLZ en el pool de liquidez, reduciendo drásticamente la oferta y manipulando el precio para inflarlo artificialmente en 40 mil millones de veces.

Q¿Qué protocolos y funciones utilizó el atacante durante el ataque?

AUtilizó un flash loan de Moolah Protocol, colateralizó BTCB en Venus Protocol, y ejecutó funciones como swapTokensForExactTokens y swapExactTokensForTokensSupportingFeeOnTransferTokens en PancakeSwap.

Q¿Cuál fue la vulnerabilidad clave explotada en el contrato de PGNLZ?

ALa vulnerabilidad fue un modelo económico deflacionario que no validaba adecuadamente las tarifas o quemas de tokens, permitiendo la manipulación del precio mediante la reducción artificial de la oferta.

Q¿Qué recomendación se da para prevenir este tipo de ataques en el futuro?

ASe recomienda validar exhaustivamente el modelo económico y la lógica del código, y realizar auditorías cruzadas con múltiples empresas de seguridad antes de lanzar el contrato.

Пов'язані матеріали

Uncovering the Truth About Agent Commerce, Payments, and Infrastructure

Decoding Agent Commerce, Payments, and Infrastructure: The Reality Over the past year, I've been building infrastructure for the Agent economy, engaging with major players like Stripe, Visa, Coinbase, Google, and dozens of startups. A clear conclusion emerges: true, large-scale demand does not yet exist. Startups face structural challenges. Data points illustrate this gap. Stripe's Agent commerce platform has over 1,000 merchants but only single-digit transacting agents. Visa's Agent payment token requires 9-month KYC and a $250M revenue threshold, accessible only to giants like Amazon. On-chain analysis reveals actual daily Agent transaction volume is around $17k, half of which are test transactions. The article analyzes four potential markets: **1. Agent-to-Merchant (A2M):** Current AI shopping UX is often inferior to traditional e-commerce for visual, comparison-heavy purchases (clothing, electronics). Chat interfaces are a step back. Real merchant interest is defensive "Agent Engine Optimization," fearing future obsolescence, not current demand. Potential exists in high-frequency, low-decision purchases (e.g., food delivery) or simplifying terrible UX (complex checkouts, non-native shoppers), but these require massive consumer distribution channels dominated by giants like DoorDash and Amazon. **2. Agent-to-API (A2A):** Developers already have subscriptions and billing for core APIs (compute, data). The argument for micro-payments via crypto for sub-dollar API calls is addressed by pre-paid balances today. The deeper issue is supplier resistance; major SaaS firms rely on enterprise contracts, not fractional cent pricing. Opportunity lies in the long tail of niche services, but this is a smaller market catering to developers, a historically low-paying group. **3. Agent-to-Agent (A2A):** This remains a theoretical long-term vision with near-zero current transaction volume. It involves unique challenges: discovery, trust, negotiation, dispute resolution. When it materializes, it will require a fundamentally new settlement infrastructure for high-speed, variable-value, multi-party transactions. It's a real long-term bet, but not the current market. **4. Agent-to-Finance (A2F):** This is the only category with existing, paying demand. Integrating AI into financial workflows (trading, portfolio management) is a natural evolution and enables new capabilities like autonomous rebalancing. However, competition favors incumbents with regulatory licenses, compliance infrastructure, and existing client relationships. **The Real Issue:** Why is infrastructure still being built? Incumbents can afford long-term bets, and payment companies see every problem as a nail for their payment hammer. However, payment is just one piece. The core challenge is *coordination*—orchestrating work between Agents and humans, verifying outcomes, and settling results. Payment is part of settlement, which is part of coordination. Companies that solve the coordination problem will subsume payments, not the other way around. Startups lack the infinite runway of giants and must find today's real market, which, after a year of exploration, lies outside these four categories—in an area with real, growing, and underserved activity.

marsbit6 год тому

Uncovering the Truth About Agent Commerce, Payments, and Infrastructure

marsbit6 год тому

Торгівля

Спот
Ф'ючерси

Популярні статті

Що таке $WELL

WELL3, $$WELL: Революція в Здоров'ї та Добробуті з DePIN та AI Вступ У швидко змінюваному світі цифрових технологій сектор здоров'я та добробуту займає передову позицію в інноваціях, прагнучи покращити догляд за пацієнтами та пропагувати здоровіші способи життя. У цьому домені визначним гравцем є WELL3, інноваційний проект Web3, що прагне революціонізувати те, як люди взаємодіють зі своїм здоров'ям. Використовуючи такі технології, як Децентралізована Фізична Інфраструктурна Мережа (DePIN), Децентралізована Ідентичність (DID) та Штучний Інтелект (AI), WELL3 має на меті сприяти безпечним, даними підкріпленим шляхам до здоров'я. Ця всеосяжна стаття глибоко аналізує основні аспекти WELL3, $$WELL, досліджуючи його функціональні можливості, творців, інвесторів та унікальні характеристики. Що таке WELL3, $$WELL? WELL3 слугує інноваційною платформою, яка має на меті переосмислити підхід до здоров'я та добробуту. Сфокусований на інтеграції DePIN і DID поряд із AI-системами, проект створений для надання персоналізованого досвіду для користувачів, забезпечуючи при цьому безпеку та конфіденційність медичних даних. З вражаючою цифрою понад мільйон попередньо зареєстрованих користувачів, основна місія WELL3 полягає в покращенні добробуту через безпечні, орієнтовані на дані шляхи до здоров'я. В основі WELL3 лежать передові блокчейн-технології, які забезпечують повний контроль користувачів над своїми особистими даними. Цей проект не тільки вирішує проблеми безпеки даних і доступності, але також прагне створити активну спільноту, пов'язану спільним прагненням до кращого здоров'я. Основні риси WELL3: DePIN і DID: Ці технології забезпечують безпечну власність та аутентифікацію даних, надаючи користувачам повний контроль над їхньою інформацією. Інтеграція AI: Використовуючи аналітику AI, WELL3 пропонує персоналізовані поради та рішення, адаптовані до індивідуальних потреб здоров'я. Залучення спільноти: Сприяє підтримуючому середовищу, в якому користувачі можуть спілкуватися, ділитися досвідом та надихати один одного на здоровіше життя. Творець WELL3, $$WELL Ідентичність творця WELL3 не уточнюється в доступній інформації. У міру просування проекту можуть з'явитися нові деталі, що проллють світло на творчі уми, які стоять за цією трансформаційною ініціативою. Інвестори WELL3, $$WELL WELL3 здобув підтримку від безлічі впливових інвестиційних структур, що підкреслює його надійність і потенціал у галузі здоров'я та добробуту. Серед відомих інвесторів: Animoca Brands AWS Samsung The Spartan Group Blocore Fenbushi Capital Newman Group Soul Capital XY Finance Lumoz Підтримка з боку цих визнаних організацій свідчить про сильну віру в місію WELL3, забезпечуючи йому необхідні ресурси для інновацій та розширення своїх пропозицій. Як працює WELL3, $$WELL? WELL3 функціонує, поєднуючи передові технології в мультичейн-рамках, забезпечуючи безперебійну та інноваційну взаємодію користувачів. Нижче наведено деякі фактори, які унікально позиціонують WELL3 на ринку добробуту: 1. Безпечна власність на дані З інтеграцією DePIN і DID користувачі можуть зберігати повний контроль над своїми особистими медичними даними. Цей рівень безпеки є надзвичайно важливим в сучасну епоху цифрових технологій, де порушення безпеки та несанкціонований доступ є поширеними. Через WELL3, власність на дані декентралізована, що дозволяє користувачам проактивно управляти своєю інформацією. 2. Персоналізація через AI WELL3 впроваджує аналітику на базі AI для надання користувачам персоналізованих медичних порад. Використовуючи силу AI, платформа може пропонувати індивідуалізовані рекомендації та рішення, заохочуючи користувачів досягати своїх цілей у здоров'ї більш ефективно. 3. Мультичейн-рамки Проект WELL3 розроблений для роботи на кількох платформах блокчейну, таких як Bitcoin, Ethereum, Polygon, Solana, Blast і TON. Ця мультичейн-можливість забезпечує безперебійну взаємодію користувачів з платформою через різні мережі, підвищуючи доступність та зручність. 4. Токен WELL Центральним елементом екосистеми WELL3 є токен WELL, який виконує кілька функцій, включаючи утиліту, управління та винагороди. Токен дозволяє брати участь в екосистемі, підтримує обмін медичними даними та мотивує користувачів на основі їхньої активності на платформі. Хронологія WELL3, $$WELL Шлях WELL3 демонструє значні віхи у її розвитку, кожна з яких реалізує загальний успіх проекту. Ось коротка хронологія ключових подій в історії WELL3: 10 лютого 2024: WELL3 запустив свій NFT проект, швидко ставши найбільшою колекцією NFT на ланцюзі opBNB з понад 324,000 власниками та досягнувши 8 мільйонів NFT, створених до 27 квітня 2024 року. Публічний продаж: Проект досяг вражаючої загальної заблокованої вартості (TVL) близько 15,237.2 ETH всього за сім днів, що свідчить про robust цікавості на ринку та підтримку. Запуск WELL ID: Платформа зареєструвала понад 900,000 користувачів для WELL ID та відповідного білого списку NFT Ring, відзначаючи значну фазу прийняття в екосистемі. Розвиток партнерства: WELL3 встановила партнерства з провідними організаціями, включаючи Animoca Brands, AWS, Samsung та іншими, щоб поліпшити свою екосистему та розширити свою присутність. Обсяг транзакцій: WELL3 здійснив транзакції на загальну суму понад 17 мільйонів доларів, що відображає зростаючу утиліту та залученість у спільноті здоров'я та добробуту. Ключові моменти про WELL3, $$WELL Як прогресивна ініціатива, що переорієнтовується на ринок добробуту, WELL3 визначила кілька важливих елементів, які сприятимуть її триваючому успіху. Ось кілька основних моментів, на які варто звернути увагу: Токеноміка Токен $$WELL має максимальну пропозицію 42 мільярдів, з значним 71% відведеним для ініціатив спільноти. Ця стратегія розподілу підкреслює зобов'язання проекту перед його базою користувачів та довгостроковою стійкістю. Період блокування Щоб забезпечити стабільність у екосистемі, токени випускаються партіями протягом 24-місячного періоду блокування, що сприяє довірі та впевненості серед користувачів. Розвиток екосистеми Бачення WELL3 поширюється на створення комплексної та стійкої екосистеми для сприяння успішному залученню спільноти, поведінці, що покращує здоров'я, та цифровим рішенням, що вирішують нагальні потреби сфери добробуту. Відповідність ринку Індустрія добробуту, оцінювана в 5.6 трильйонів доларів, пропонує вигідну можливість, яку WELL3 прагне використати. З очікуваним щорічним темпом зростання 5-10%, проект ідеально позиціонується на тлі зростаючої тенденції до здорового способу життя. Носимі пристрої Введення кільця WELL3, носимого пристрою з крипто-інцентуванням, відповідає зростаючому попиту на персоналізовані дані про здоров'я. Цей пристрій не лише підвищує досвід користувача, але й переосмислює те, що означає бути залученим до власного здоров'я в контексті Web3. Висновок WELL3 представляє собою значний прогрес у інтеграції блокчейн-технологій у сектор здоров'я та добробуту. Вирішуючи критично важливі питання щодо володіння даними, персоналізації та залучення спільноти, ця інноваційна платформа пропонує прогресивне рішення для покращення індивідуального добробуту. З потужною підтримкою від відомих інвесторів та зобов'язанням до передових технологій, WELL3 готовий зробити відчутний вплив у сфері добробуту. Для тих, хто прагне орієнтуватися в складнощах здоров'я в цифрову епоху, WELL3 безумовно варто стежити за його еволюцією та зростанням.

39 переглядів усьогоОпубліковано 2024.07.14Оновлено 2024.12.03

Що таке $WELL

Як купити WELL

Ласкаво просимо до HTX.com! Ми зробили покупку Moonwell Artemis (WELL) простою та зручною. Дотримуйтесь нашої покрокової інструкції, щоб розпочати свою криптовалютну подорож.Крок 1: Створіть обліковий запис на HTXВикористовуйте свою електронну пошту або номер телефону, щоб зареєструвати обліковий запис на HTX безплатно. Пройдіть безпроблемну реєстрацію й отримайте доступ до всіх функцій.ЗареєструватисьКрок 2: Перейдіть до розділу Купити крипту і виберіть спосіб оплатиКредитна/дебетова картка: використовуйте вашу картку Visa або Mastercard, щоб миттєво купити Moonwell Artemis (WELL).Баланс: використовуйте кошти з балансу вашого рахунку HTX для безперешкодної торгівлі.Треті особи: ми додали популярні способи оплати, такі як Google Pay та Apple Pay, щоб підвищити зручність.P2P: Торгуйте безпосередньо з іншими користувачами на HTX.Позабіржова торгівля (OTC): ми пропонуємо індивідуальні послуги та конкурентні обмінні курси для трейдерів.Крок 3: Зберігайте свої Moonwell Artemis (WELL)Після придбання Moonwell Artemis (WELL) збережіть його у своєму обліковому записі на HTX. Крім того, ви можете відправити його в інше місце за допомогою блокчейн-переказу або використовувати його для торгівлі іншими криптовалютами.Крок 4: Торгівля Moonwell Artemis (WELL)Легко торгуйте Moonwell Artemis (WELL) на спотовому ринку HTX. Просто увійдіть до свого облікового запису, виберіть торгову пару, укладайте угоди та спостерігайте за ними в режимі реального часу. Ми пропонуємо зручний досвід як для початківців, так і для досвідчених трейдерів.

106 переглядів усьогоОпубліковано 2024.12.10Оновлено 2026.06.02

Як купити WELL

Обговорення

Ласкаво просимо до спільноти HTX. Тут ви можете бути в курсі останніх подій розвитку платформи та отримати доступ до професійної ринкової інформації. Нижче представлені думки користувачів щодо ціни WELL (WELL).

活动图片