北京时间2022年3月17日，我们的系统监控到涉及APE Coin的可疑交易，根据twitter用户Will Sheehan的报告，套利机器人通过闪电贷薅羊毛，拿到6W多APE Coin（每个价值8美元）。
我们经过分析后，发现这和APE Coin的空投机制存在漏洞有关。具体来说，APE Coin决定能否空投取决于某一个用户是否持有BYAC NFT的瞬时状态，而这个瞬时状态攻击者是可以通过借入闪电贷然后redeem获得BYAC NFT来操纵的。攻击者首先通过闪电贷借入BYAC Token，然后redeem获得BYAC NFT。然后使用这一些NFT来claim空投的APE，最后将BYAC NFT mint获得BYAC Token用来返还闪电贷。我们认为这个模式同基于闪电贷的价格操纵攻击非常类似（合约通过一个资产的瞬时价格来对另外一个资产进行定价，而这个瞬时价格可以被操控）。
接下来，我们使用一个攻击交易(https://versatile.blocksecteam.com/tx/eth/0xeb8c3bebed11e2e4fcd30cbfc2fb3c55c4ca166003c7f7d319e78eaab9747098)来简述整个过程。
律师观点：美国税收新规在实践中存在多个问题:7月31日消息，美国两党此前提出一项基础设施法案，计划通过在交易所和其他各方应用新的信息报告要求，通过加密货币税收筹集约280亿美元。根据一份法案草案副本，转让任何数字资产的经纪人都需要根据修改后的信息报告制度提交申报表。在实践中，这意味着加密矿工、权益证明网络的验证者，甚至可能是那些活跃于去中心化金融市场的人（比如清算人或治理代币持有人）必须满足IRS报告要求，并提交1099表格。这些表格包括客户数据，如姓名、地址和税务识别号（对于自营职业者，可以是社会保险号）。
DeFi借贷协议Compound的总法律顾问Jake Chervinsky在推特上对此评论称：“对于矿工等非托管方来说，他们根本不可能获得填写1099表格所需的信息。实际上，这可能意味着美国（事实上）禁止挖矿。”加密货币和公民自由律师Marta Belcher则表示：“该法案可能使人们无法通过开源代码（如智能合约和去中心化交易所）直接与他人进行加密货币交易的同时保持匿名。”Chervinsky补充说：“采纳一项根本无法遵守的法规是不合逻辑的，除非其目标是扼杀整个行业。”了解该法案谈判的消息人士表示，Chervinsky对形势的解读是正确的。然而，这一条款是否会被纳入很可能会通过的最终法案尚不确定。Belcher补充称：“尽管该法案的措辞正在迅速演变，但其定义足够广泛，可能也会纳入加密领域的矿工和其他人。”（Decrypt）[2021/8/1 1:27:04]
攻击者购买了编号1060的BYAC NFT并且转移给攻击合约。这个NFT是攻击者花了106 ETH在公开市场购买的。
攻击者通过闪电贷借入大量的BYAC Token。在这个过程中，攻击者通过redeem BYAC token获得了5个BYAC NFT（编号 7594，8214，9915，8167，4755）。
在这个过程中，攻击者使用了6个NFT来领取空投。1060是其购买，其余5个是在上一步获得。通过空投，攻击者共计获得60,564 APE tokens奖励。
攻击者需要归还借出的BYAC Token。因此它将获得BYAC NFT mint获得BYAC Token。这个过程中，他还将其自己的编号为1060 NFT也进行了mint。这是因为需要额外的BYAC Token来支付闪电贷的手续费。然后将还完手续费后的BYAC Token卖出获得14 ETH。
攻击者获得60,564 APE token,价值50W美金。其攻击成本为1060 NFT（106ETH）减去售卖BYAC Token得到的14ETH。
我们认为问题根源在于APE的空投只考虑瞬时状态（NFT是否在某一个时刻被某一个用户持有）。而这个假定是非常脆弱的，很容易被攻击者操控。如果攻击者操控状态的成本小于获得的APE空投的奖励，那么就会创造一个实际的攻击机会。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。