出典: Securelist – https://securelist.com/betterbank-defi-protocol-esteem-token-bonus-minting/117822/
原題: Deep analysis of the flaw in BetterBank reward logic
BetterBankの報酬ロジック欠陥による500万ドル規模のDeFi攻撃分析
2025年8月末、PulseChain上のDeFiプロトコルBetterBankが報酬トークンの設計ミスを突かれ、約500万ドル相当の資産流出という大規模な攻撃を受けました。本記事では攻撃の経緯、技術的な脆弱性、影響、そして今後の対策について詳しく解説します。
主要なポイント
- 攻撃の概要と被害額：2025年8月26日から27日にかけて、BetterBankは流動性操作と報酬トークンの不正発行を受け、約500万ドルの資産が流出しました。交渉により約270万ドルが返還され、最終的な純損失は約140万ドルに抑えられました。
- 脆弱性の原因：報酬トークン「ESTEEM」を発行する関数swapExactTokensForFavorAndTrackBonusにおいて、流動性プールの正当性を検証する処理が欠如していました。これにより偽の流動性プールを利用した無限発行が可能となりました。
- 事前監査の指摘と対応不足：セキュリティ企業Zokyoによる監査で同様の脆弱性が指摘されていたものの、コミュニケーション不足や軽視により修正が不十分でした。
- 攻撃手法の詳細：攻撃者は偽トークンと偽流動性プールを作成し、flash loan（無担保の即時貸付）を活用して大量資金を借り流動性を操作。売却税を回避しつつESTEEMを無限発行し、資産を奪いました。
- 異例の資金返還交渉：BetterBankチームは攻撃者に20%のバウンティを提示し交渉。これにより攻撃者から一部資金の返還を実現し、被害拡大を防ぎました。
技術的な詳細と背景
BetterBankはFAVORとESTEEMの2種類のトークンを運用しています。FAVORは流動性提供のためのトークンで、ESTEEMはその報酬として発行されます。問題となったswapExactTokensForFavorAndTrackBonus関数は、スワップの出力がFAVORトークンであることのみを確認し、流動性プールが正規のものかどうかを検証しませんでした。
攻撃者はこの設計の隙を突き、偽の流動性プールを作成。これにより無限にESTEEMを発行し、それをFAVORに交換して資産を枯渇させました。BetterBankは売却時に税（sell tax）を課す仕組みを持っていましたが、偽プールはホワイトリストに登録されておらず、この税を回避できました。
また、攻撃にはflash loanが利用されました。flash loanとは、担保なしで瞬時に大量の資金を借り入れ、同一トランザクション内で返済する仕組みです。これにより攻撃者は自己資金をほとんど使わずに大規模な操作を実行しました。
影響と重要性
- ユーザーと流動性提供者への影響：BetterBankのユーザーは資産の一部を失い、流動性提供者も報酬の価値低下や資産減少に直面しました。
- PulseChainネットワークへの波及：DAIやPLSX、WPLSなど関連資産の信頼性が揺らぎ、ネットワーク全体の健全性に影響を与えました。
- DeFiエコシステム全体の教訓：報酬設計の甘さや監査の不徹底が大規模損失に直結することを示し、セキュリティ監査の重要性と組織的対応の必要性が改めて認識されました。
推奨される対策
- 報酬発行ロジックにおいて、スワップ元の流動性プールが正当かつホワイトリスト登録済みであることを厳密に検証する。
- セキュリティ監査の指摘事項を軽視せず、開発チームと監査者間のコミュニケーションを円滑にし、推奨パッチを完全に実装する。
- 報酬トークンの無限発行や自己増殖ループを防ぐため、多層的なセキュリティ対策を設計段階から導入する。
- 偽流動性プールや偽トークンを検出・排除する仕組みを強化し、不正な取引環境の構築を防止する。
- flash loanを利用した攻撃に対する監視体制を整備し、防御策を検討・実装する。
まとめ
BetterBankの攻撃事件は、報酬ロジックの設計ミスと監査対応の不備が招いた典型的なDeFiセキュリティ事故です。攻撃者は偽の流動性プールを利用し、flash loanを駆使して無限に報酬トークンを発行、資産を奪いました。幸いにも一部資金の返還交渉が成立し被害は軽減されましたが、本件はDeFiプロトコル設計におけるセキュリティの重要性を改めて示すケーススタディとなりました。今後は報酬発行の検証強化や監査指摘の徹底実装、偽プール検出の強化など多角的な対策が求められます。
参照元：https://securelist.com/betterbank-defi-protocol-esteem-token-bonus-minting/117822/
