Comment quelqu’un a gagné 820 000 $ grâce à Airdrop d’ApeCoin via Flashloan

18.03.2022 / Actualites

Avec l’anticipation montant en flèche autour du lancement d’un nouveau jeton par BAYC, un utilisateur inconnu a joué au système et a reçu plus de 60 000 jetons APE. Après avoir remboursé le prêt flash et les frais, ils ont gagné 820 000 $ (près de 300 ETH).

  • CryptoPotato a signalé hier la frénésie autour du nouvel ApeCoin qui a conduit à une pompe et à un vidage du prix plancher du Bored Ape Yacht Club.
  • Cela s’est produit parce que des personnes ont acheté des NFT liés à BAYC pour participer au parachutage très attendu.
  • Selon CertiK, un utilisateur inconnu a profité de l’engouement actuel en réclamant une grande quantité d’ApeCoin lors du largage.
  • Ils ont acheté le NFT numéro 1060 à OpenSea et l’ont utilisé comme frais de prêt flash pour le prêt flash des jetons 5.2 BAYC de NFTX Vault – une plate-forme permettant aux utilisateurs de créer des marchés liquides pour les NFT illiquides. Les utilisateurs peuvent déposer leurs NFT dans le coffre et créer un jeton fongible ERC20 qui peut ensuite être échangé contre des NFT spécifiques du coffre.
  • L’attaquant a utilisé les jetons BAYC empruntés pour échanger les NFT BAYC suivants : 7594, 8214, 9915, 8167 et 4755.
  • Posséder autant de NFT BAYC a permis à l’attaquant de réclamer des jetons APE pour chacun, ce qui a donné un montant total de 60 564 APE. Ils ont vendu la majorité sur le marché des ETH.
  • Après cela, l’attaquant a créé des NFT BAYC contre des jetons BAYC pour rembourser le prêt flash et les frais. En fin de compte, ils ont rapporté 293 ETH, d’une valeur d’un peu plus de 820 000 $ aux prix d’aujourd’hui.

Analyse de la vulnérabilité des contrats :

La fonction getClaimableTokenAmountAndGammaToClaim() dans le contrat AirdropGrapesToken pour calculer le montant d’ApeCoin à réclamer en fonction du nombre de NFT dont dispose l’appelant ne tient pas compte de la durée pendant laquelle l’appelant possède ces NFT. pic.twitter.com/ihDcFBWjvp

— Alerte CertiK (@CertiKAlert) 17 mars 2022