6月9日にNovaBoxの報酬プールから56.73 ETHが流出し、130人以上のユーザーに影響

Bits.mediaによると、NovaBoxのEthereum上の報酬プールは、報酬分配メカニズムの不具合により、6月9日に約56.73 ETHが流出した。これは130人超の預託者に影響した。単一の取引によってプールは65.11 ETHから0.09 ETHへと減少し、99.86%の損失に相当する。セキュリティ企業F12は、攻撃がスマートコントラクトの脆弱性ではなく設計上の欠陥を悪用したことを確認した。

攻撃者はAave V3のフラッシュローンで427.5 WETHを借り入れ、NovaBoxのシステムにあるタイミングの隙間を悪用した。具体的には、最初に少量のNOVAトークンを預けてから大量のETHを追加し、古い残高に基づいて配当を計算しつつ、膨らんだ持分サイズで払い出しを行ったことで、約145.82 ETHのファントム（架空）配当を生み出し、報酬プールを枯渇させた。