出典: Securelist – https://securelist.com/betterbank-defi-protocol-esteem-token-bonus-minting/117822/
原題: Deep analysis of the flaw in BetterBank reward logic
BetterBankの報酬ロジック脆弱性による500万ドル損失の分析
2025年8月末、PulseChain上のDeFiプロトコルBetterBankが報酬ロジックの設計ミスを突かれ、約500万ドル相当の資産が流出しました。攻撃者との交渉により被害は軽減されましたが、本事件はDeFiにおける報酬設計とセキュリティ監査の重要性を改めて浮き彫りにしました。
主要なポイント
- 攻撃の概要と被害額：2025年8月26日から27日にかけて、BetterBankは流動性操作と報酬トークンの不正発行により約500万ドルの資産を失いました。攻撃者は交渉の末、約270万ドル相当を返還し、最終的な純損失は約140万ドルに抑えられました。
- 脆弱性の原因：報酬システムの根本設計ミスにより、swapExactTokensForFavorAndTrackBonus関数がスワップ元の流動性プールの正当性を検証していなかったため、偽の流動性プールを利用した不正発行が可能となりました。
- 技術的な攻撃手法：攻撃者はflash loanを活用し、正規の流動性プールを枯渇させた後、偽のERC-20トークンと流動性プールを作成。これにより報酬トークンESTEEMの無限生成ループを形成し、プロトコルの準備金を枯渇させました。
- セキュリティ監査の問題：事前にZokyo社による監査で脆弱性が指摘されていたにも関わらず、コミュニケーション不足と低リスク評価により修正が不完全であったことが被害拡大の一因となりました。
- 攻撃後の対応と教訓：攻撃者が一部資産を返還した珍しいケースであり、交渉による被害軽減の可能性を示しました。一方で設計レベルの欠陥と組織的対応不足が複合し、大規模被害を招いた典型例として今後のDeFi開発の教訓となります。
技術的な詳細と背景
BetterBankはFAVORとESTEEMという2種類のトークンを用いる独自の報酬システムを採用しています。ユーザーがFAVORトークンをスワップすると、ESTEEMトークンが報酬として発行されます。この仕組みは、swapExactTokensForFavorAndTrackBonus関数を通じて実現されていますが、この関数はスワップの出力がFAVORであることのみを検証し、スワップ元の流動性プールが正当なものかどうかの検証を欠いていました。
攻撃者はこの設計上の欠陥を突き、偽のERC-20トークンと偽の流動性プールを作成。これにより、報酬トークンESTEEMの自己増殖ループを形成し、無限にトークンを生成することが可能となりました。さらに、BetterBankには売却時に課される「sell tax（売却税）」機能がありましたが、偽の流動性プールはホワイトリストに登録されていなかったため、この税を回避できました。
攻撃の初期段階ではflash loan（フラッシュローン）を利用し、正規のDAI-PDAIF流動性プールを枯渇させることで、偽の流動性プールの価値を相対的に高め、不正な報酬獲得を容易にしました。
影響と重要性
本事件はBetterBankのユーザーおよび流動性提供者に直接的な経済的損失をもたらしただけでなく、PulseChain上のDeFiエコシステム全体に対する信頼性にも影響を与えました。また、DeFiにおける報酬設計の複雑さと、それに伴うセキュリティリスクの高さを示す事例として注目されています。
さらに、事前のセキュリティ監査が指摘した問題を軽視した組織的な対応不足が被害拡大に繋がった点は、DeFiプロジェクトにおける内部コミュニケーションとリスク管理の重要性を強調しています。攻撃者が一部資産を返還した点は異例であり、今後の被害軽減策や攻撃者との交渉戦略の可能性を示しています。
まとめ
BetterBankの事件は、報酬ロジックの設計ミスと組織的対応不足が複合して大規模な資産流出を招いた典型的なケースです。DeFiプロジェクトにおいては、報酬発行ロジックの厳密な検証、セキュリティ監査指摘事項の確実な修正、マルチレイヤーの防御策導入が不可欠です。また、売却税などの防御機構は偽の流動性プールも含めて適用範囲を拡大し、回避を防止する必要があります。
本事件の詳細なオンチェーンフォレンジック解析は、攻撃手法の理解と今後の防御策検討に貴重な知見を提供しています。DeFiの安全性向上に向けて、設計段階からの慎重なリスク評価と組織内の連携強化が求められます。
参照元: https://securelist.com/betterbank-defi-protocol-esteem-token-bonus-minting/117822/
