Little Boy Plus sofreu uma violação de segurança que resultou na perda de aproximadamente 377.642 USDT, equivalente a cerca de 610,555 BNB, segundo monitoramento da SlowMist. O ataque explorou uma vulnerabilidade na função _update do contrato LBPHashrate, que pode ser acionada por uma chamada transferFrom com valor zero, contornando as verificações de autorização da OpenZeppelin. O atacante utilizou essa falha para chamar a função sem autorização, permitindo o processo _harvest e a cunhagem de tokens LBP para o endereço PancakePair via LBP.mintReward. Essa ação aumentou o saldo do pool sem afetar as reservas, permitindo que o atacante drenasse USDT através do PancakePair.swap.