出典: Securelist – https://securelist.com/betterbank-defi-protocol-esteem-token-bonus-minting/117822/
原題: Deep analysis of the flaw in BetterBank reward logic
BetterBankの5百万ドル規模DeFi攻撃：報酬ロジックの脆弱性解析
2025年8月末、PulseChain上のDeFiプロトコルBetterBankが報酬トークンの不正発行を伴う大規模な攻撃を受け、約500万ドルの資産が流出しました。本記事では、攻撃の経緯と技術的背景、影響、そして今後の対策について詳しく解説します。
主要なポイント
- 攻撃の概要と被害額：2025年8月26日から27日にかけて、BetterBankは流動性操作と報酬トークンの不正発行を利用した高度な攻撃を受け、約500万ドルの資産が流出しました。
- 脆弱性の原因：報酬システムの根本的な設計ミスにより、swapExactTokensForFavorAndTrackBonus関数が流動性プールの正当性を検証しておらず、偽の流動性プールを利用した無限報酬トークン発行が可能となっていました。
- 攻撃後の対応：攻撃者とのオンチェーン交渉により約270万ドルが返還され、最終的な純損失は約140万ドルに軽減されました。これはDeFi攻撃としては異例の成功例です。
- セキュリティ監査の問題点：事前にZokyo社による監査で同脆弱性が指摘されていたものの、コミュニケーション不足と低リスク評価により修正が不十分でした。
技術的な詳細と背景
BetterBankはFAVOR（主要トークン）とESTEEM（報酬トークン）の二重トークンシステムを採用しています。報酬トークンの発行はswapExactTokensForFavorAndTrackBonus関数で行われますが、この関数はスワップの出力トークンがFAVORであればESTEEMをミント（発行）します。しかし、流動性プールが正当なものかどうかの検証が欠如していました。
攻撃者はこの設計ミスを突き、偽の流動性プールを作成。これにより、報酬トークンの無限発行を可能にする自己強化ループを形成しました。さらに、BetterBankには売却時に課される「sell tax（売却税）」が設定されていましたが、偽の流動性プールはホワイトリストに登録されていなかったため、この税を回避できました。
攻撃はflash loan（フラッシュローン）を利用し、まず本物の流動性プールから資金を排出。その後、偽のトークンとPDAIFの偽プールを作成して操作を行いました。これにより短時間で大量の報酬トークンを不正に獲得しました。
影響と重要性
- ユーザーと流動性提供者への影響：BetterBankのユーザーや流動性提供者は資産の一部を失い、信頼性が大きく損なわれました。
- PulseChainネットワークへの波及：DAI、PLSX、WPLSなどPulseChain上の関連資産にも影響が及び、ネットワーク全体の安全性に対する懸念が高まりました。
- DeFiエコシステム全体への警鐘：設計ミスによるセキュリティリスクの認識が深まり、報酬ロジックの堅牢性確保の重要性が改めて示されました。
推奨される対策
- ホワイトリストによる流動性プールの厳格管理：報酬ミント関数でスワップ元の流動性プールが正当なホワイトリストに登録されているかを厳密に検証する必要があります。
- セキュリティ監査の指摘事項への適切対応：監査で指摘された脆弱性は軽視せず、重大度に関わらず速やかに修正を行うべきです。
- マルチレイヤーのセキュリティ設計：設計段階から攻撃ベクトルを想定し、堅牢なトークノミクス（トークン経済設計）を構築することが重要です。
- 攻撃検知と資金回収の仕組み整備：オンチェーン交渉やバウンティ制度（報奨金制度）を導入し、攻撃発生時の迅速な対応を可能にします。
- 偽プール作成の防止：流動性プールのホワイトリスト管理を強化し、偽の流動性プールが作成されるリスクを低減します。
まとめ
BetterBankの5百万ドル規模の攻撃は、報酬ロジックにおける根本的な設計ミスと組織的な対応不足が複合して発生した典型的なケースです。特に、事前のセキュリティ監査で指摘された脆弱性が適切に修正されなかったことが被害拡大の一因となりました。
一方で、攻撃者が資金の一部を返還した点はDeFi攻撃としては異例であり、オンチェーン交渉の成功例として注目されます。本事件はブロックチェーン技術におけるセキュリティ監査の重要性と、発見事項の適切な共有・対応の必要性を示す貴重なケーススタディとなりました。
今後のDeFiプロジェクトは、報酬ロジックの堅牢化や多層的なセキュリティ対策を講じることで、同様の攻撃リスクを低減し、ユーザーの資産保護に努める必要があります。
参照元: https://securelist.com/betterbank-defi-protocol-esteem-token-bonus-minting/117822/
