APE Coinエアドロップ漏洞遭アービトラージボット利用

2022年3月17日、APE Coinに関する疑わしい取引が業界の注目を集めました。あるアービトラージボットが巧妙にフラッシュローンを利用し、成功裏に6万枚以上のAPE Coinを取得しました。1枚の価値は約8ドルです。

!

詳しい分析を経て、専門家はこの事件がAPE Coinのエアドロップメカニズムの欠陥と密接に関連していることを指摘しています。APE Coinのエアドロップ資格の判定は、特定の瞬間にユーザーがBYAC NFTを保有しているかどうかに依存しており、この瞬時の状態は攻撃者によってフラッシュローンを通じて操作される可能性があります。攻撃者はまずBYAC Tokenを借り、その後BYAC NFTに交換して、これらのNFTを使用してAPEエアドロップを請求し、最後にBYAC NFTをBYAC Tokenに鋳造してフラッシュローンを返済します。この攻撃パターンはフラッシュローンに基づく価格操作攻撃と似ており、いずれも特定の資産の瞬時の状態が操作可能である特性を利用しています。

!

以下は典型的な攻撃の詳細なプロセスです：

1.攻撃の準備: 攻撃者は106 ETHの価格で番号1060のBYAC NFTを購入し、それを攻撃契約に移転しました。

!

2. フラッシュローンを借りてBYAC NFTを交換する： 攻撃者はフラッシュローンを通じて大量のBYACトークンを借り入れ、それを5つのBYAC NFT（番号はそれぞれ7594、8214、9915、8167、4755）に交換しました。

!

3. BYAC NFTを利用してエアドロップを受け取る： 攻撃者は6つのNFT（以前購入した1060号と新しく交換した5つを含む）を使用してエアドロップを申請し、合計60,564個のAPEトークンを取得しました。

!

4. BYAC NFTをBYACトークンに戻す。 フラッシュローンを返済するために、攻撃者は得たBYAC NFTを再鋳造してBYAC Tokenにします。同時に、自分の1060号NFTを鋳造して追加のBYAC Tokenを獲得し、フラッシュローンの手数料を支払います。残りのBYAC Tokenは販売され、14 ETHに換えられました。

!

最終的に、攻撃者は60,564個のAPEトークンを獲得し、その価値は約50万ドルです。攻撃コストは106 ETH（1060号NFTの購入価格）から14 ETH（BYACトークンの販売による所得）を引いたものです。

!

このイベントは、瞬時の状態に依存してエアドロップの資格を判断することの潜在的リスクを明らかにしました。操作状態のコストがエアドロップの報酬を下回ると、アービトラージの機会が生じます。将来的に同様のメカニズムを設計する際には、システムの安全性と公平性を高めるために、より包括的な判断基準を考慮すべきです。

!

!