BnbLabubu OLPC/LABUBU Reserve-Mismatch-Exploit

Am 20. Juni 2026 wurde der OLPC/LABUBU-Liquiditätspool auf PancakeSwap V2 (BNB Chain) — Teil des Meme-Token-Projekts BnbLabubu — um rund 1,1 Millionen US-Dollar erleichtert, als ein Deflations-Burn-Fehler im OLPC-Token ein Reserve-Mismatch erzeugte, das der Angreifer ausnutzte, um die LABUBU des Pools zu einem verzerrten Preis aufzukaufen.

Was geschah

PancakeSwap V2 bepreist Asset-Paare über eine Constant-Product-Formel (x·y=k) anhand zwischengespeicherter Reserven, die nur bei Swaps und Mints synchronisiert werden. OLPC war jedoch ein deflationärer Token, dessen _update()-Logik bei Transfers Token verbrannte. Etwa 46 Tage vor dem Angriff hatte der OLPC-Eigentümer den Parameter decimalsValue des Tokens von 1 auf einen enormen Wert geändert — eine Änderung, die überdimensionierte Burns ermöglichte — bevor er das Eigentum aufgab. Der Angreifer schickte einen kleinen Transfer in das Paar, der das Verbrennen von etwa 51,9 Millionen OLPC und 124.000 LABUBU aus dem Pool an eine Dead-Adresse auslöste, während die zwischengespeicherten Reserven des Paares unverändert blieben. Die Lücke zwischen den zwischengespeicherten Reserven und den realen Beständen des Pools erzeugte eine starke Preisverzerrung, und der Angreifer kaufte die verbleibenden LABUBU mit hohem Abschlag auf und wandelte die Beute in etwa 1.115.903 USDT um.

Folgen

Der Angreifer brückte die Erlöse nach Ethereum und zahlte etwa 633 ETH in Tornado Cash ein, um die Mittel zu waschen; nichts wurde zurückgeholt. PancakeSwap erklärte, dass die eigenen Smart Contracts nicht schuld seien und das Problem von der Konfiguration des OLPC-Tokens herrühre, und gab an, weiter zu ermitteln.

Warum es wichtig ist

Der Vorfall erinnert erneut daran, dass Fee-on-Transfer- und deflationäre Token die grundlegende AMM-Invariante brechen: Constant-Product-Pools setzen voraus, dass der balanceOf eines Tokens den zwischengespeicherten Reserven entspricht, und jeder Token, der seinen Bestand stillschweigend verbrennt oder rebased, eröffnet einen Reserve-Mismatch-Angriff — dieselbe Klasse, die BNB-Chain-Pools seit PancakeBunny immer wieder trifft. Er zeigt auch, wie ein einziger angreiferfreundlicher Parameter, der vor der Eigentumsaufgabe gesetzt wird (DIP Token), wochenlang ruhen kann, bevor ihn jemand bewaffnet — und wie billig waschbare Meme-Token-Liquidität ein bevorzugtes Ziel bleibt.