3つのパブリックチェーンが4日間で相次ぎ停止、誰が一時停止ボタンを押す権限を持つのか？

著者：Liam 'Akiba' Wright、cryptoslate

編集：Saoirse、Foresight News

4日間のうちに、3つのブロックチェーンネットワークが相次いでブロック生成を停止した。各ネットワークの停止では、それぞれ異なる緊急権限が行使され、正式なチェーン履歴を書き換えたのはCronosのみだった。

Cronos側の説明によると、Tectonicプロトコルが脆弱性攻撃を受けた後、検証ノードがコンセンサスメカニズムを通じてネットワークを停止し、チェーンを攻撃発生前の状態に復元し、ブロック番号90,896,189からブロック生成を再開した。この操作はブロック生成を停止しただけでなく、チェーン状態を直接書き換えた。復元ポイント以降に発生した取引と状態変更は、再起動後の正式なメインチェーンには含まれない。

OntologyとICONは別の緊急手段を採用した。Ontologyは悪意のある攻撃行為を確認する前にブロック生成を一時停止し、9月1日の更新説明では、この悪意のある活動によるユーザー資産の損失はなかったとしている。ICONはまず攻撃を受けたコントラクトを一時停止し、その後ネットワーク全体を停止した。財団によると、ネットワークが移行段階にある間は財団が管理しており、その時点で盗まれたICXの大部分はすでに取引所のカストディ口座に移されていた。

ブロックチェーンの停止は第一段階の制御手段に過ぎない。より深い問題は、誰がネットワーク停止を命じる権限を持つのか、確認済みのチェーン状態を書き換えることができるのか、資金がクロスチェーンで移動したり中央集権的なカストディ機関に入った場合、どの損失が取り返しのつかないものになるのか、ということだ。

Cronos、Ontology、ICONの3つのパブリックチェーンの緊急処置方法の比較

Cronos：停止からチェーン状態の書き換えへ

Cronosは今回の事象への対応を「検証者コンセンサスによる緊急措置」と呼んでいる。8月31日の再起動発表によると、協定世界時8月30日23:49:01に、ネットワークはブロック番号90,896,189からブロック生成を再開し、チェーン状態はTectonic脆弱性攻撃の発生前まで巻き戻された。

Cronosの停止操作は、復元ポイントにおける利害関係の選択を意味する。チェックポイント以降、脆弱性に関連するオンチェーン状態は、その期間中の無関係な取引も含めて、正式なチェーンから消去された。再起動の発表には、取引リスト、検証ノードの統計、投票権重の閾値、参加ノードのリストは添付されていない。Cronosは事後検証報告書を公表すると約束しており、処置プロセスと技術的影響範囲を完全に説明する必要がある。

今回の介入で実際に保護された資産規模についても、まだ定説はない。TRM Labsの推計では、TONICトークン価格が操作された後、約7500万ドルの資産が借り入れられ、そのうち約600万ドルがイーサリアムへ流出し、約6870万ドルがCronosチェーン内でロールバックされた。Bitqueryの統計ではさらに大きな総流出規模が示され、約830万ドルの資産がイーサリアムへ流出し、合計10961ブロックが破棄された。

2つの統計基準は対象が異なり、Tectonic公式の最終損失データはまだ公表されていない。しかし、1つだけ明確なことがある。Cronosのロールバックは、自チェーン内に残っている状態しか復元できず、イーサリアムチェーン上の資産はまったく管理できないということだ。

Tectonicの資産処分案には、ユーザーの口座の問題が残っている。同プロトコルは、預金と新規借入を一時停止する一方で、引き出しとローン返済機能を優先的に開放するとしている。この案はユーザーに退出とデレバレッジの経路を提供するが、資金供給者が全額償還できるかは未確認だ。Tectonicが公表予定の事後報告書では、脆弱性の原理、資金の総流出、不良債権の規模、回収済み資産、その他の残存債務を明らかにする必要がある。

各種インフラの回復進捗は、チェーンのコンセンサス再開と同期していない。Cronosは、各種プロトコル、クロスチェーンブリッジ、ブロックエクスプローラー、RPCサービスにはさらに長い回復時間が必要だと注意を促している。Alchemyのステータスページにも、今回の停止とその後の回復が個別に記録されている。チェーンネットワークは正式な再起動を宣言できるが、それに依存する各種サービスが必ずしも準備完了しているとは限らない。

Ontology：停止は処置時間を稼ぐためだけであり、取引を取り消すものではない

Ontologyの対応措置は、悪意のある活動を確認する前に行われた。ネットワーク側は、コア開発チームが日常点検で潜在的なセキュリティ上の懸念を発見し、直ちにブロック生成を一時停止し、技術チームと検証ノードによるシステム調査に委ねたとしている。

9月1日の更新発表によると、調査で悪意のある攻撃行為が確認され、メインネットは引き続き停止し、脆弱性修復とネットワークアップグレードが行われる。この攻撃によるユーザー資産への侵害はなかった。Ontologyの目標は24時間以内に通常運用を再開することだが、その前提はセキュリティ検査、脆弱性修復、アップグレード、テストがすべて順調に完了することだ。

Ontologyの停止は、確認済みのオンチェーン状態をすべて保持し、新規取引の確認と決済のみを停止する。発表では復元ポイントは指定されておらず、無効化すべき取引の集合も公表されていない。

公開された権限に関する情報は完全ではない。発表ではコア開発チーム、技術チーム、ネットワーク検証ノードが処置に参加したとされているが、最終的な拘束力を持つ意思決定者が誰なのかは明記されておらず、数値化された緊急処置の閾値も示されていない。OntologyのVBFT文書には、ノードによる確認ブロックの生成や、管理コントラクトによるコンセンサスノード集合の更新など、通常のコンセンサスメカニズムが記述されているが、文書は通常運用のシナリオのみを対象としており、8月31日に使用された緊急一時停止ルールは公開されていない。

資産損失が発生しなかったとしても、停止は依然として実際のコストを伴う。Ontologyはユーザーに対し、オンチェーン取引が処理できなくなることを通知し、時間的制約のある操作を実行しないよう推奨した。その後、ネットワーク再起動は脆弱性修復、アップグレード、テストに依存すると述べた。ユーザーはオンチェーンでポジション調整や送金決済を行うことができず、このチェーンに接続するすべての外部サービスはネットワークのシグナルを待つしかない。

サービス再開の判定基準はセキュリティを重視しているが、具体的な詳細は限られている。Ontologyは、修復、アップグレード、テスト、検証がすべて完了すれば、24時間以内のサービス再開を目指すとしているが、誰が条件達成を判定するのか、トリガー閾値がいくつなのかは外部に開示されていない。

これによりガバナンス面の不確実性が生じる。発表には調査に参加した各当事者が明記されているが、最終的な再起動決定権を持つ主体は明確にされていない。ユーザーにとって、現在のリスクはサービス中断に由来するものであり、確定的な資産損失やチェーンのロールバックではない。

ICON：なぜブロックチェーンの停止でも手遅れだったのか

ICONの事象は、アラート、処置、資産がチェーンの管理から離脱する全過程を完全に示している。

財団の事後報告書によると、攻撃者は協定世界時8月27日02:01:02から02:21:12の間に、2つの履歴上有効な署名付き引き出しメッセージを1492回リプレイした。精度の欠陥により、そのうち1490回の呼び出しが成功し、財団の資産プールから1億1986万6000ICXと53万1600bnUSDが転送された。

02:08に監視システムがアラートを発したが、技術者が調査を開始したのはその後だった。影響を受けたコントラクトは03:53に一時停止された。主要取引所は05:54から順次ICXの入出金を停止し、ネットワーク全体の停止は06:18:54に正式に発効した。ICONは8月28日07:51頃に再起動を完了し、停止時間は約25時間で、同時に根本的な脆弱性も修正された。

事後報告書は、問題の根本原因はイベント対応プロセスにあり、検出能力の不足ではないとしている。アラートは7分以内に発動されたが、この種のアラートは無関係なRPC異常と混同されることが多く、システムは当直者に通知しなかった。技術調査は03:40頃まで開始されず、コントラクトが一時停止されたのはその直後だった。

チェーンが正式に停止した時点で、影響を受けたICXの大部分はすでに取引所の保管体制に組み込まれていた。ICONチェーン側の制御手段では、取引所が保有する資産の移動や変換を阻止することはできない。財団は、取引所の資産凍結、保全通知、弁護士、法執行機関に頼って処理するしかない。

保管の境界が損失の帰属を直接決定する。ICONは、影響を受けた資産はすべて財団に属し、一般ユーザーの預金、残高、ポジションには一切影響がないとしている。報告書によると、53万1600bnUSDと136万6000SODAは全額回収済み。貸し出された11万3634USDCのうち、8万2430USDCが回収された。確認された純損失は約150.2ETHと3万1204USDC。関与したICXの大半は、取引所で凍結または追跡されているだけで、実際には回収されていない。

ICONのガバナンス構造は、他の2つのケースとも異なる。事後報告書には、トークン移行期間中はネットワークが財団の管理下にあると明記されている。移行ガイド文書には、コンセンサスはメンテナンスモードで動作し、コアノードは7つのみと記載されている。したがって、今回の停止は、財団が明確に管理する特別な運用構造に依拠していた。

緊急権限の本質は、バランスシート上の権力でもある

ブロックチェーンの停止は、いずれも本質的にリスクを別の場所に移転する行為だ。

• Cronosは正式なチェーン履歴を変更した。チェーンの管轄内にある資産は保護できるが、脆弱性とは無関係の正常なオンチェーン活動も巻き添えで無効化され、イーサリアム上の資産には対処できない。
• Ontologyはリスクを時間的コストとサービス可用性の損失に変換した。調査中は取引を決済できず、資産の帳簿上の損失は確認されなかった。
• ICONは、資産がチェーンのカストディ範囲外に移転した後に、コントラクトとネットワークの隔離を完了した。確認された損失は財団が負担し、凍結されたICXの回収は取引所と司法機関に委ねられている。

単純な分散化の評価では、これらのまったく異なる結末を覆い隠してしまう。より実用的な評価基準は、緊急処置ルールが公開されているか、処置を発動する閾値は何か、新しいブロックの停止のみか、それとも確認済みのチェーン状態を書き換えるのか、介入発生時に自チェーンの管轄外にある資産は誰が管理しているのか、残存損失を誰が負担すると約束しているのか、といった点だ。

CronosとTectonicは、まだ完全な事後報告書を公表していない。Ontologyは攻撃の詳細と緊急権限ルールを開示する必要があり、その後、アップグレードと再起動の判定条件が満たされたかどうかを確認する必要がある。本当に比較すべきは、各ネットワークが引いたリスク境界、つまりどの履歴、時間、資金がリスクにさらされるのかということだ。

原文リンク