ApeSTRが攻撃を受け、攻撃者はBored Ape Yacht Club（BAYC）のNFTを21個交換し、約14,000ドルの純利益を得ました。Foresight Newsによると、Yuga Labsの副社長0xQuitは、攻撃者がBAYCのNFTをApeSTRが保有する21体のApeと交換し、対応するブラインドボックスパックを請求したと述べました。

脆弱性は、buyTargetNFT関数がコールデータを適切に検証していなかったことに起因します。同じ欠陥は以前、SQUIGSTRにも存在していましたが、悪用されたことはありませんでした。

攻撃後、ApeSTRの認識しないうちに21体のApeがApeSTRコントラクトに追加され、攻撃者は入札プールにブラインドボックスパックを210個入金しました。