APE Coinエアドロップ漏洞导致アービトラージ事件分析

2022年3月17日、APE Coinに関する疑わしい取引が市場の注目を集めました。調査の結果、これはAPE Coinのエアドロップ機構における1つの脆弱性に関連していることが判明しました。攻撃者はフラッシュローンなどの手法を利用し、6万枚以上のAPE Coinを成功裏に取得し、1枚あたり約8ドルの価値を持っています。

!

この脆弱性の核心は、APE Coinのエアドロップ資格の判定メカニズムにあります。システムは、特定の時点でユーザーがBYAC NFTを保有しているかどうかのみに基づいてエアドロップ資格を決定しますが、この瞬間的な状態は操作可能です。攻撃者はフラッシュローンを通じてBYAC Tokenを取得し、その後BYAC NFTに交換し、これらのNFTを利用してAPEのエアドロップを請求し、最後にNFTを再びTokenに鋳造してフラッシュローンを返済します。この手法は、フラッシュローンに基づく価格操作攻撃に非常に似ており、資産の瞬時の状態への依存を利用しています。

!

典型的攻撃取引プロセスは以下の通りです:

1. 攻撃の準備:攻撃者はBYAC NFT(番号1060)を106ETHで購入し、それを攻撃コントラクトに転送します。

!

2. 借り入れと交換：フラッシュローンを利用して大量のBYACトークンを借り入れ、5枚のBYAC NFTに交換します。

!

3. エアドロップを受け取る：6枚のNFT（以前に購入した1枚を含む）を利用してAPEエアドロップを申請し、60,564枚のAPEトークンを獲得する。

!

4. 返済と現金化：NFTを再鋳造してBYACトークンにし、フラッシュローンを返済し、残りのトークンを売却して約14 ETHを得る。

!

最終的に、攻撃者は60,564枚のAPEトークンを獲得し、約50万ドルの価値を持ちました。コスト（NFT購入の106 ETHから販売したトークンで得た14 ETHを差し引いた額）を差し引いても、攻撃者は依然としてかなりの利益を得ました。

!

この事件は、一時的な状態にのみ依存してエアドロップの判断を行うリスクを浮き彫りにしました。操作状態のコストがエアドロップの利益を下回ると、アービトラージの機会が生まれます。同様の事件を防ぐために、プロジェクト側はエアドロップメカニズムを設計する際、保有状態をより包括的に考慮し、簡単に操作される判断基準を避けるべきです。

!

このような事件は、暗号通貨業界全体に警鐘を鳴らし、トークン配布メカニズムを設計する際には、さまざまな攻撃ベクトルを十分に考慮し、システムの安全性と公平性を確保するためにより慎重である必要があることを私たちに思い出させています。

!