Little Boy Plus hat eine Sicherheitsverletzung erlitten, die zum Verlust von etwa 377.642 USDT führte, was ungefähr 610,555 BNB entspricht, so die Überwachung durch SlowMist. Der Angriff nutzte eine Schwachstelle in der _update-Funktion des LBPHashrate-Vertrags aus, die durch einen transferFrom-Aufruf mit Nullwert ausgelöst werden kann und dabei die Autorisierungsprüfungen von OpenZeppelin umgeht. Der Angreifer nutzte diese Schwachstelle, um die Funktion ohne Autorisierung aufzurufen, wodurch der _harvest-Prozess aktiviert und LBP-Token über LBP.mintReward an die PancakePair-Adresse geprägt wurden. Diese Aktion erhöhte den Pool-Bestand, ohne die Reserven zu beeinflussen, was es dem Angreifer ermöglichte, USDT über PancakePair.swap abzuziehen.