出典: Securelist – https://securelist.com/betterbank-defi-protocol-esteem-token-bonus-minting/117822/
原題: Deep analysis of the flaw in BetterBank reward logic
BetterBankの5百万ドル規模DeFi攻撃：報酬ロジックの欠陥を突かれた事例分析
2025年8月末、PulseChainネットワーク上のDeFiプロトコルBetterBankが報酬トークンの発行ロジックの脆弱性を突かれ、約500万ドル相当の資産が流出する大規模な攻撃を受けました。本記事では攻撃の概要から技術的詳細、影響、そして今後の対策までを解説します。
主要なポイント
- 攻撃の概要と被害額：2025年8月26日から27日にかけて、BetterBankは流動性操作と報酬トークンの不正発行により約500万ドルの資産を失いましたが、攻撃者が約270万ドルを返還し、純損失は約140万ドルに抑えられました。
- 脆弱性の原因：報酬トークン（ESTEEM）を発行するswapExactTokensForFavorAndTrackBonus関数において、スワップが正当なホワイトリスト入り流動性プールで行われたかの検証が欠落していました。
- 事前監査の指摘と対応不足：セキュリティ監査会社Zokyoが同脆弱性を指摘していたものの、コミュニケーション不足や低重大度評価により修正が不完全だったことが被害拡大の一因です。
- 攻撃手法の詳細：攻撃者はflash loan（瞬間貸付）を利用し、実際の流動性プールを枯渇させた後、偽のERC-20トークンと流動性プールを作成して報酬トークンの無限発行を実現しました。
- 被害拡大防止と返還交渉：BetterBankチームは攻撃後に残存する流動性プールを排出し、攻撃者との交渉で資産の一部返還に成功した点はDeFi攻撃事例としては異例です。
技術的な詳細と背景
BetterBankはFAVORとESTEEMの2種類のトークンを用いるシステムで、FAVORの流動性提供に対してESTEEMを報酬として発行します。問題となったのは、報酬発行関数 swapExactTokensForFavorAndTrackBonus で、スワップ結果にFAVORが含まれているかのみを検証し、スワップが正規のホワイトリスト入り流動性プールで行われたかをチェックしていなかった点です。
この欠陥により、攻撃者は偽のERC-20トークンと流動性プールを作成し、報酬トークンESTEEMを無限に生成する自己増殖ループを形成しました。さらに、売却時に課される売却税（sell tax）機能も偽の流動性プールはホワイトリストに含まれなかったため、税の適用を回避できました。
攻撃はflash loanを活用し、まず実際の流動性プールの資産を枯渇させることで市場の正常な動きを妨害し、その隙に偽の流動性プールを利用して不正な報酬発行を行うという高度な手法でした。
影響と重要性
- ユーザーと流動性提供者への影響：BetterBankの利用者は資産の一部損失リスクにさらされ、流動性提供者の信頼も大きく損なわれました。
- PulseChainネットワーク全体への波及：同ネットワーク上の資産保有者にも不安が広がり、ネットワークの健全性に対する懸念が増大しました。
- DeFiエコシステムへの教訓：報酬発行ロジックの設計ミスや監査指摘の軽視が大規模損失を招く典型例として、類似設計のプロトコルに対しても警鐘を鳴らしました。
まとめ
BetterBankの攻撃事件は、DeFiプロトコルにおける報酬トークン発行ロジックの検証不足と組織内の対応不足が甚大な経済的損失を招くことを示す重要な事例です。今後はスマートコントラクトの流動性プール正当性検証の徹底、監査指摘事項の確実な修正、マルチレイヤーのセキュリティ対策、ホワイトリスト管理の強化、報酬トークンの換金ルールの厳格化が不可欠です。
また、BetterBankチームが攻撃者と交渉し一部資産返還に成功した点は、DeFiにおける新たな対応モデルとして注目されます。今後のオンチェーンフォレンジック解析がさらなる防御策の策定に役立つことが期待されます。
DeFiの急速な発展に伴い、設計段階からのセキュリティ意識と組織内の連携強化がますます重要となるでしょう。
