APE Coinエアドロップの脆弱性：フラッシュローンアービトラージ事件分析

2022年3月17日、APE Coinに関わる疑わしい取引が業界の注目を集めました。調査の結果、これはAPE Coinのエアドロップ機構に脆弱性があることに関連していることが判明しました。攻撃者はフラッシュローンを利用してBYAC NFTの保有状況を巧妙に操作し、大量のAPE Coinエアドロップ報酬を獲得しました。

!

攻撃プロセスの分析

###の準備 攻撃者はまず公開市場で106 ETHの価格で1060番のBYAC NFTを購入し、それを攻撃契約に転送しました。

借入・償還

その後、攻撃者はフラッシュローンを通じて大量のBYACトークンを借り入れ、すぐにこれらのトークンを5つのBYAC NFT（番号はそれぞれ7594、8214、9915、8167、4755）に償還しました。

!

エアドロップを受け取る

取得した5つのNFTに加えて、以前に購入した1つを使用し、攻撃者は合計6つのBYAC NFTを使って60,564個のAPEトークンをエアドロップ報酬として成功裏に受け取りました。

!

###ローンの返済とキャッシュアウト フラッシュローンを返済するために、攻撃者は6つのBYAC NFTをBYAC Tokenに再鋳造しました。その中には、最初に購入した1060号NFTが含まれており、これはフラッシュローンの手数料を支払うためです。最後に、攻撃者は残りのBYAC Tokenを市場で販売し、約14 ETHを得ました。

!

攻撃結果

この操作により、攻撃者は60,564個のAPEトークンを獲得し、その当時の価値は約50万ドルでした。コスト（NFT購入にかかった106 ETHからBYACトークンの売却で得られた14 ETHを引いた額）を差し引いても、攻撃者は依然としてかなりの利益を得ました。

!

脆弱性の根本原因と影響

APE Coinエアドロップ機構の主な欠陥は、特定の時点でユーザーがNFTを保有しているかどうかのみを考慮し、その状態が人為的に操作される可能性を無視している点です。操作コストがエアドロップ報酬を下回ると、攻撃者にとっての隙間が生まれます。

!

このイベントは、エアドロップやその他の報酬メカニズムを設計する際に、一時的な状態に依存するのではなく、より長期的で安定した保有行動を考慮すべきことを思い出させてくれます。同時に、フラッシュローンなどの方法で迅速に変化する可能性のある状態には、類似のアービトラージ行為を防ぐために、より厳格なチェックメカニズムを設定する必要があります。

!

将来的には、プロジェクトチームは同様のメカニズムを設計する際に、潜在的な脆弱性や攻撃ベクトルをより包括的に考慮し、報酬配分の公平性とシステムの安全性を確保する必要があります。また、これは投資家やユーザーに対し、プロジェクトの安全性に常に注意を払い、各種エアドロップ活動に理性的に参加することを促すものでもあります。

!

!