Une « autodestruction » soigneusement conçue : Analyse de l'attaque PGNLZ

marsbitОпубліковано о 2026-01-28Востаннє оновлено о 2026-01-28

Анотація

Une attaque soigneusement planifiée contre le projet PGNLZ sur BNB Smart Chain a été détectée le 27 janvier 2026, causant une perte d’environ 100 000 USD. L’attaquant a utilisé un flash loan de 1 059 BTCB via Moolah Protocol, puis les a déposés comme garantie sur Venus Protocol pour emprunter 30 000 000 USDT. Ensuite, l’attaquant a échangé 23 337 952 USDT contre 982 506 PGNLZ sur PancakeSwap, mais a immédiatement brûlé ces tokens (en les envoyant à l’adresse 0xdead). Cette action a drastiquement réduit l’offre de PGNLZ dans le pool, faisant monter son prix de 0,1 USDT à 5 528 USDT. L’attaquant a ensuite exploité la fonction de taxe de vente (Fee-On Transfer) du token, qui déclenchait un mécanisme de brûlage (_executeBurnFromLP) supprimant presque entièrement les tokens restants du pool. Le prix a alors été artificiellement gonflé à 234 385 300 000 000 USDT par PGNLZ, permettant à l’attaquant de vider le pool et de réaliser un profit après remboursement du prêt. La cause principale de cette vulnérabilité est un modèle économique déflationniste mal sécurisé, sans vérification adéquate lors des opérations de taxation ou de brûlage. Il est recommandé aux projets de bien valider leurs mécanismes économiques et de réaliser des audits croisés avant le déploiement.

Contexte

Le 27 janvier 2026, nous avons détecté une attaque sur le projet PGNLZ sur le BNB Smart Chain :

https://bscscan.com/tx/0xa7488ff4d6a85bf19994748837713c710650378383530ae709aec628023cd7cc

Après une analyse détaillée, l'attaquant a lancé une attaque soutenue contre le projet PGNLZ le 27 janvier 2026, causant une perte d'environ 100 000 USD.

Analyse de l'attaque et de l'événement

L'attaquant a d'abord emprunté 1 059 BTCB via un flash loan auprès de Moolah Protocol,

Puis, il a déposé ces 1 059 BTCB en collatéral sur Venus Protocol pour emprunter 30 000 000 USDT.

Ensuite, l'attaquant a appelé la fonction `swapTokensForExactTokens` sur PancakeSwap, utilisant 23 337 952 USDT pour échanger contre 982 506 PGNLZ, mais a ensuite brûlé ces PGNLZ (en les envoyant à l'adresse 0xdead).

Avant l'échange, le pool PancakeSwap contenait 100 901 USDT et 982 506 PGNLZ, le prix du PGNLZ était donc de 1 PGNLZ = 0,1 USDT. Après l'échange, le pool PancakeSwap contenait 23 438 853 USDT et 4 240 PGNLZ, le prix du PGNLZ est alors passé à 1 PGNLZ = 5 528 USDT.

Par la suite, l'attaquant a appelé la fonction `swapExactTokensForTokensSupportingFeeOnTransferTokens`, une fonction conçue pour prendre en charge les tokens avec frais de transfert (Fee-On Transfer Token). PGNLZ utilise `_update` pour gérer les frais de transaction, la chaîne d'appel spécifique étant : `transferFrom` -> `_spendAllowance` -> `_transfer` -> `_update`.

Comme il s'agissait d'une vente (sell), la fonction `_handleSellTax` a été appelée.

Examinons comment `_executeBurnFromLP` est implémentée,

On peut voir que `_executeBurnFromLP` utilise `_update` pour brûler la quantité de PGNLZ définie par `pendingBurnFromLP`. Le bloc précédent indiquait que `pendingBurnFromLP` était de 4 240 113 074 578 781 194 669.

Après le burn, il ne restait plus que 0,00000001 PGNLZ dans le pool de liquidité (LP Pool), le prix est alors passé à 1 PGNLZ = 234 385 300 000 000 USDT, soit une multiplication par 40 milliards.

Enfin, l'attaquant a vidé le LP Pool, a remboursé le flash loan, et a réalisé un profit de 100 000 USDT.

Conclusion

La cause de cette vulnérabilité réside dans le modèle économique déflationniste, qui ne valide pas les frais prélevés ou la combustion du pool de liquidité. Cela a permis à l'attaquant de manipuler le prix du token en exploitant ses caractéristiques déflationnistes. Il est recommandé aux projets de valider minutieusement la conception de leur modèle économique et la logique d'exécution du code, et de privilégier un audit croisé par plusieurs sociétés d'audit avant le déploiement du contrat.

Трендові криптовалюти

Пов'язані питання

QQuel est la cause principale de l'attaque contre le projet PGNLZ sur BNB Smart Chain ?

ALa cause principale est le modèle économique déflationniste du token, avec une vulnérabilité dans la vérification lors des frais de transaction ou de la destruction des tokens du pool de liquidité, permettant à l'attaquant de manipuler le prix.

QComment l'attaquant a-t-il initialement obtenu les fonds pour lancer l'attaque ?

AL'attaquant a obtenu un flash loan de 1 059 BTCB auprès de Moolah Protocol, qu'il a ensuite utilisé comme garantie pour emprunter 30 000 000 USDT sur Venus Protocol.

QQuelle action spécifique a provoqué l'augmentation massive du prix du PGNLZ ?

AL'attaquant a brûlé une énorme quantité de PGNLZ (4 240 113 074 578 781 194 669 tokens) via la fonction _executeBurnFromLP, ne laissant que 0,00000001 PGNLZ dans le pool, ce qui a fait monter le prix de 40 milliards de fois.

QQuel était le prix du PGNLZ avant et après la manipulation par l'attaquant ?

AAvant la manipulation : 1 PGNLZ = 0,1 USDT. Après la manipulation : 1 PGNLZ = 234 385 300 000 000 USDT.

QQuelle est la recommandation principale pour éviter ce type d'attaque à l'avenir ?

AIl est recommandé de valider soigneusement le modèle économique et la logique du code, et de faire auditer le contrat par plusieurs sociétés d'audit différentes avant son déploiement.

Пов'язані матеріали

He Gave Wang Xingxing the First 2 Million, Now Serves as Chairman for the Next 'Unitree'

On August 19, 2024, Unitree Robotics, China's "first humanoid robotics stock," went public. Its founder, Wang Xingxing, started a decade ago with his self-developed XDog. In 2016, at a critical funding juncture, he received his first angel investment of 2 million RMB from Yin Fangming. This bet has since yielded a return of over 140 times. Yin Fangming is more than just a key investor. He was a co-founder of the AI robotics company ROOBO, whose own venture ultimately struggled. This firsthand experience with the hardware challenges in robotics gave him unique insight when backing Unitree, a company renowned for its hardware R&D and cost control. While his own company faltered, Yin continued investing shrewdly. He partially cashed out some Unitree shares early, reinvesting the proceeds into sectors like energy (e.g., solid-state battery firm TaiLan) and commercial aerospace (e.g., small launch vehicle developer XianDeng Aerospace). However, his most significant move after Unitree is his deep involvement with Galaxy General, a leading embodied AI unicorn. In July 2024, Yin stepped from behind the scenes to officially become its Chairman, indicating a role far beyond a typical investor. This comes as Galaxy General is viewed as preparing for future capital moves. Yin's career has consistently been ahead of the curve—from mobile internet to AI and robotics. Known for his foresight and low profile, he declined an interview for this story, offering only a statement encouraging support for visionary entrepreneurs like Wang Xingxing.

marsbit16 хв тому

He Gave Wang Xingxing the First 2 Million, Now Serves as Chairman for the Next 'Unitree'

marsbit16 хв тому

Coldcard Theft Reflection: Source Code Visibility Does Not Equal Security

The article examines the open-source vs. closed-source debate in crypto, prompted by a theft of over $100M in Bitcoin from Coldcard hardware wallets. It clarifies key terminology: true "Free and Open Source Software" (FOSS) grants four essential freedoms (use, study, share, modify), while "source available" code, like Coldcard's firmware, may have usage restrictions. The piece argues that visible source code alone does not guarantee security; actual safety depends on the economic incentives for thorough, ongoing review by skilled individuals. Using Bitcoin Core as a model, the article describes a successful, transparent open-source development culture built on public review and consensus. It contrasts this with the Coldcard case, where a critical bug in a lightly-reviewed, source-available library went undetected for years, highlighting a "tragedy of the commons" scenario where assumed but absent scrutiny creates vulnerability. The economics of licensing are crucial: restrictive licenses can limit the pool of motivated commercial reviewers. Finally, the article explores AI's impact. It cites the Bitcoin Red Team's use of AI to rapidly audit codebases and find vulnerabilities at scale, demonstrating a powerful new tool for security. However, AI also floods projects with low-quality code, straining maintainers. The piece concludes that in high-stakes crypto, only well-audited projects—whether open or closed-source—can withstand evolving threats, with AI both challenging and aiding security practices.

marsbit26 хв тому

Coldcard Theft Reflection: Source Code Visibility Does Not Equal Security

marsbit26 хв тому

Mysterious "Ox Alpha" Large Model Goes Viral with Limited-Time Free Access

A mysterious anonymous AI model named "Ox Alpha," nicknamed "Cow is Coming" by Chinese netizens, has appeared on OpenRouter, sparking widespread speculation. The model offers a 1 million token context, supports text, image, and video inputs, can call tools, and is currently free. Its standout feature is strong coding ability. Initial tests on the DeepSWE benchmark, which evaluates real-world software engineering tasks, showed an 80% pass rate on a subset of tasks, reportedly nearing top-tier code models. However, follow-up tests yielded a 63% score, with variations attributed to different task sets and configurations. The model's true developer is a major topic of debate. The prevailing theory points to Zhipu AI's unreleased GLM-5.3 Flash or its multimodal variant. Evidence cited includes identical visual token consumption patterns with GLM-5V-Turbo for videos, a consistent offset in text token counts compared to GLM-5.3, and similar behavioral traits like refusing audio processing. Zhipu has a precedent of anonymous testing. Simultaneously, another anonymous model, "korrine," appeared on Code Arena, with guesses ranging from Moonshot's Kimi K3.1 to models from Qwen or MiMo, adding to the industry's guessing game. This trend of anonymous "undercover" testing allows for unbiased performance evaluation in platforms like Arena and provides real-world, high-pressure testing through tools like OpenRouter before official release. It also serves as an effective marketing tactic, prolonging discussion through suspense. If Ox Alpha is indeed a "Flash" model, its performance raises expectations for the full-scale version's potential.

marsbit5 год тому

Mysterious "Ox Alpha" Large Model Goes Viral with Limited-Time Free Access

marsbit5 год тому

Торгівля

Спот

Популярні статті

Що таке $WELL

WELL3, $$WELL: Революція в Здоров'ї та Добробуті з DePIN та AI Вступ У швидко змінюваному світі цифрових технологій сектор здоров'я та добробуту займає передову позицію в інноваціях, прагнучи покращити догляд за пацієнтами та пропагувати здоровіші способи життя. У цьому домені визначним гравцем є WELL3, інноваційний проект Web3, що прагне революціонізувати те, як люди взаємодіють зі своїм здоров'ям. Використовуючи такі технології, як Децентралізована Фізична Інфраструктурна Мережа (DePIN), Децентралізована Ідентичність (DID) та Штучний Інтелект (AI), WELL3 має на меті сприяти безпечним, даними підкріпленим шляхам до здоров'я. Ця всеосяжна стаття глибоко аналізує основні аспекти WELL3, $$WELL, досліджуючи його функціональні можливості, творців, інвесторів та унікальні характеристики. Що таке WELL3, $$WELL? WELL3 слугує інноваційною платформою, яка має на меті переосмислити підхід до здоров'я та добробуту. Сфокусований на інтеграції DePIN і DID поряд із AI-системами, проект створений для надання персоналізованого досвіду для користувачів, забезпечуючи при цьому безпеку та конфіденційність медичних даних. З вражаючою цифрою понад мільйон попередньо зареєстрованих користувачів, основна місія WELL3 полягає в покращенні добробуту через безпечні, орієнтовані на дані шляхи до здоров'я. В основі WELL3 лежать передові блокчейн-технології, які забезпечують повний контроль користувачів над своїми особистими даними. Цей проект не тільки вирішує проблеми безпеки даних і доступності, але також прагне створити активну спільноту, пов'язану спільним прагненням до кращого здоров'я. Основні риси WELL3: DePIN і DID: Ці технології забезпечують безпечну власність та аутентифікацію даних, надаючи користувачам повний контроль над їхньою інформацією. Інтеграція AI: Використовуючи аналітику AI, WELL3 пропонує персоналізовані поради та рішення, адаптовані до індивідуальних потреб здоров'я. Залучення спільноти: Сприяє підтримуючому середовищу, в якому користувачі можуть спілкуватися, ділитися досвідом та надихати один одного на здоровіше життя. Творець WELL3, $$WELL Ідентичність творця WELL3 не уточнюється в доступній інформації. У міру просування проекту можуть з'явитися нові деталі, що проллють світло на творчі уми, які стоять за цією трансформаційною ініціативою. Інвестори WELL3, $$WELL WELL3 здобув підтримку від безлічі впливових інвестиційних структур, що підкреслює його надійність і потенціал у галузі здоров'я та добробуту. Серед відомих інвесторів: Animoca Brands AWS Samsung The Spartan Group Blocore Fenbushi Capital Newman Group Soul Capital XY Finance Lumoz Підтримка з боку цих визнаних організацій свідчить про сильну віру в місію WELL3, забезпечуючи йому необхідні ресурси для інновацій та розширення своїх пропозицій. Як працює WELL3, $$WELL? WELL3 функціонує, поєднуючи передові технології в мультичейн-рамках, забезпечуючи безперебійну та інноваційну взаємодію користувачів. Нижче наведено деякі фактори, які унікально позиціонують WELL3 на ринку добробуту: 1. Безпечна власність на дані З інтеграцією DePIN і DID користувачі можуть зберігати повний контроль над своїми особистими медичними даними. Цей рівень безпеки є надзвичайно важливим в сучасну епоху цифрових технологій, де порушення безпеки та несанкціонований доступ є поширеними. Через WELL3, власність на дані декентралізована, що дозволяє користувачам проактивно управляти своєю інформацією. 2. Персоналізація через AI WELL3 впроваджує аналітику на базі AI для надання користувачам персоналізованих медичних порад. Використовуючи силу AI, платформа може пропонувати індивідуалізовані рекомендації та рішення, заохочуючи користувачів досягати своїх цілей у здоров'ї більш ефективно. 3. Мультичейн-рамки Проект WELL3 розроблений для роботи на кількох платформах блокчейну, таких як Bitcoin, Ethereum, Polygon, Solana, Blast і TON. Ця мультичейн-можливість забезпечує безперебійну взаємодію користувачів з платформою через різні мережі, підвищуючи доступність та зручність. 4. Токен WELL Центральним елементом екосистеми WELL3 є токен WELL, який виконує кілька функцій, включаючи утиліту, управління та винагороди. Токен дозволяє брати участь в екосистемі, підтримує обмін медичними даними та мотивує користувачів на основі їхньої активності на платформі. Хронологія WELL3, $$WELL Шлях WELL3 демонструє значні віхи у її розвитку, кожна з яких реалізує загальний успіх проекту. Ось коротка хронологія ключових подій в історії WELL3: 10 лютого 2024: WELL3 запустив свій NFT проект, швидко ставши найбільшою колекцією NFT на ланцюзі opBNB з понад 324,000 власниками та досягнувши 8 мільйонів NFT, створених до 27 квітня 2024 року. Публічний продаж: Проект досяг вражаючої загальної заблокованої вартості (TVL) близько 15,237.2 ETH всього за сім днів, що свідчить про robust цікавості на ринку та підтримку. Запуск WELL ID: Платформа зареєструвала понад 900,000 користувачів для WELL ID та відповідного білого списку NFT Ring, відзначаючи значну фазу прийняття в екосистемі. Розвиток партнерства: WELL3 встановила партнерства з провідними організаціями, включаючи Animoca Brands, AWS, Samsung та іншими, щоб поліпшити свою екосистему та розширити свою присутність. Обсяг транзакцій: WELL3 здійснив транзакції на загальну суму понад 17 мільйонів доларів, що відображає зростаючу утиліту та залученість у спільноті здоров'я та добробуту. Ключові моменти про WELL3, $$WELL Як прогресивна ініціатива, що переорієнтовується на ринок добробуту, WELL3 визначила кілька важливих елементів, які сприятимуть її триваючому успіху. Ось кілька основних моментів, на які варто звернути увагу: Токеноміка Токен $$WELL має максимальну пропозицію 42 мільярдів, з значним 71% відведеним для ініціатив спільноти. Ця стратегія розподілу підкреслює зобов'язання проекту перед його базою користувачів та довгостроковою стійкістю. Період блокування Щоб забезпечити стабільність у екосистемі, токени випускаються партіями протягом 24-місячного періоду блокування, що сприяє довірі та впевненості серед користувачів. Розвиток екосистеми Бачення WELL3 поширюється на створення комплексної та стійкої екосистеми для сприяння успішному залученню спільноти, поведінці, що покращує здоров'я, та цифровим рішенням, що вирішують нагальні потреби сфери добробуту. Відповідність ринку Індустрія добробуту, оцінювана в 5.6 трильйонів доларів, пропонує вигідну можливість, яку WELL3 прагне використати. З очікуваним щорічним темпом зростання 5-10%, проект ідеально позиціонується на тлі зростаючої тенденції до здорового способу життя. Носимі пристрої Введення кільця WELL3, носимого пристрою з крипто-інцентуванням, відповідає зростаючому попиту на персоналізовані дані про здоров'я. Цей пристрій не лише підвищує досвід користувача, але й переосмислює те, що означає бути залученим до власного здоров'я в контексті Web3. Висновок WELL3 представляє собою значний прогрес у інтеграції блокчейн-технологій у сектор здоров'я та добробуту. Вирішуючи критично важливі питання щодо володіння даними, персоналізації та залучення спільноти, ця інноваційна платформа пропонує прогресивне рішення для покращення індивідуального добробуту. З потужною підтримкою від відомих інвесторів та зобов'язанням до передових технологій, WELL3 готовий зробити відчутний вплив у сфері добробуту. Для тих, хто прагне орієнтуватися в складнощах здоров'я в цифрову епоху, WELL3 безумовно варто стежити за його еволюцією та зростанням.

150 переглядів усьогоОпубліковано 2024.07.14Оновлено 2024.12.03

Що таке $WELL

Як купити WELL

Ласкаво просимо до HTX.com! Ми зробили покупку Moonwell Artemis (WELL) простою та зручною. Дотримуйтесь нашої покрокової інструкції, щоб розпочати свою криптовалютну подорож.Крок 1: Створіть обліковий запис на HTXВикористовуйте свою електронну пошту або номер телефону, щоб зареєструвати обліковий запис на HTX безплатно. Пройдіть безпроблемну реєстрацію й отримайте доступ до всіх функцій.ЗареєструватисьКрок 2: Перейдіть до розділу Купити крипту і виберіть спосіб оплатиКредитна/дебетова картка: використовуйте вашу картку Visa або Mastercard, щоб миттєво купити Moonwell Artemis (WELL).Баланс: використовуйте кошти з балансу вашого рахунку HTX для безперешкодної торгівлі.Треті особи: ми додали популярні способи оплати, такі як Google Pay та Apple Pay, щоб підвищити зручність.P2P: Торгуйте безпосередньо з іншими користувачами на HTX.Позабіржова торгівля (OTC): ми пропонуємо індивідуальні послуги та конкурентні обмінні курси для трейдерів.Крок 3: Зберігайте свої Moonwell Artemis (WELL)Після придбання Moonwell Artemis (WELL) збережіть його у своєму обліковому записі на HTX. Крім того, ви можете відправити його в інше місце за допомогою блокчейн-переказу або використовувати його для торгівлі іншими криптовалютами.Крок 4: Торгівля Moonwell Artemis (WELL)Легко торгуйте Moonwell Artemis (WELL) на спотовому ринку HTX. Просто увійдіть до свого облікового запису, виберіть торгову пару, укладайте угоди та спостерігайте за ними в режимі реального часу. Ми пропонуємо зручний досвід як для початківців, так і для досвідчених трейдерів.

247 переглядів усьогоОпубліковано 2024.12.10Оновлено 2026.06.02

Як купити WELL

Обговорення

Ласкаво просимо до спільноти HTX. Тут ви можете бути в курсі останніх подій розвитку платформи та отримати доступ до професійної ринкової інформації. Нижче представлені думки користувачів щодо ціни WELL (WELL).

活动图片