出典: Securelist – https://securelist.com/betterbank-defi-protocol-esteem-token-bonus-minting/117822/
原題: Deep analysis of the flaw in BetterBank reward logic
BetterBankの報酬ロジックの欠陥によるDeFi攻撃の包括的分析
2025年8月末、PulseChainネットワーク上のDeFiプロトコルBetterBankが報酬ミント機能の脆弱性を突かれ、約500万ドル相当の資産が流出しました。本記事では、攻撃の経緯や技術的背景、影響、そして今後の対策について詳しく解説します。
主要なポイント
- 大規模な資産流出と部分的な返還
2025年8月26日から27日にかけて、BetterBankは高度な流動性操作と報酬ミントの脆弱性を悪用され、約500万ドル相当の資産が盗まれました。しかし、攻撃者とのオンチェーン交渉により約270万ドル分が返還され、最終的な純損失は約140万ドルに軽減されました。 - 報酬ミントの検証不足が脆弱性の原因
問題の根源はswapExactTokensForFavorAndTrackBonus関数にあり、報酬トークン（ESTEEM）をミントする際に、スワップ元の流動性プールが正当かどうかの検証が欠如していました。 - 攻撃手法の高度さと多段階の実行
攻撃者は偽のERC-20トークンを作成し、偽の流動性プールを構築。さらにflash loan（フラッシュローン）を利用して資金調達から流動性操作、報酬の無限ミントまで複数の段階で攻撃を実行しました。 - 事前のセキュリティ監査で指摘されていたが対策不十分
Zokyo社による監査で同様の脆弱性が指摘されていたものの、コミュニケーション不足とリスク評価の低さから修正が不十分であり、攻撃を許す結果となりました。
技術的な詳細と背景情報
BetterBankはFAVORトークンとESTEEM報酬トークンの2トークンシステムを採用しています。報酬ミントはswapExactTokensForFavorAndTrackBonus関数で行われ、FAVORトークンがスワップの出力に含まれる場合にESTEEMトークンを新たに発行（ミント）する仕組みです。
しかし、この関数はスワップ元の流動性プールが正当なものであるかを検証しませんでした。攻撃者はこれを悪用し、偽のERC-20トークンを作成して偽の流動性プールを構築。これにより、報酬トークンの無限ミントが可能となりました。
また、BetterBankには売却時に課される「sell tax（売却税）」機能がありましたが、偽の流動性プールはホワイトリストに登録されていなかったため、この税の適用を回避できました。攻撃はflash loanを活用し、短時間で大量の資金を調達し流動性プールを操作するなど、高度な手法で行われました。
影響と重要性
- BetterBankプロトコルとそのユーザーが直接的な被害を受けました。特に、DAI、PLSX、WPLSといった主要トークンが流動性プールから盗まれました。
- DeFiコミュニティ全体に対し、設計上の欠陥が甚大なリスクをもたらすことを示す警鐘となりました。
- 攻撃者が一部資産を返還した稀なケースであり、BetterBankチームの迅速な対応と交渉力の重要性が浮き彫りになりました。
- 設計レベルの欠陥と組織的対応不足が組み合わさることで、被害が拡大することを示す重要なケーススタディとなっています。
推奨される対策
- 報酬ミント機能の厳密な検証
スワップ元の流動性プールが正当なホワイトリストに登録されているかを必ず確認し、不正なプールからの報酬ミントを防止すること。 - セキュリティ監査の指摘事項の徹底対応
監査結果を軽視せず、開発チームと監査チーム間のコミュニケーションを強化し、推奨される修正を確実に適用すること。 - 多層的なセキュリティ対策の導入
売却税などの防御機構を偽の流動性プールにも適用範囲を拡大し、攻撃の多様な手法に対応できる体制を整備すること。 - 高度な攻撃手法への備え
flash loanなどの複雑な攻撃を想定したリスク評価と対策を強化し、プロトコルの堅牢性を向上させること。
まとめ
BetterBankの攻撃事件は、DeFiプロトコルの設計ミスと組織的な対応不足が結びつくことで甚大な被害を招くことを示す重要な教訓です。報酬ミント機能の検証不足や監査指摘の軽視が攻撃を許し、偽の流動性プールを利用した高度な攻撃手法が被害を拡大させました。
この事件を踏まえ、DeFi開発者は設計段階から厳密な検証と多層的なセキュリティ対策を講じる必要があります。また、セキュリティ監査の指摘を真摯に受け止め、迅速かつ確実な対応を行うことが被害軽減に不可欠です。今後も高度化する攻撃手法に対抗するため、継続的なリスク評価と対策強化が求められます。
