著者：谷昱、ChainCatcher

過去数日、Cosmosエコシステムでは、本来回避可能な「セキュリティ災害」が繰り広げられた。MANTRA、TAC、KiiChain、NesaなどCosmos EVMモジュールを採用するブロックチェーンが相次いで攻撃を受け、各チェーンのトレジャリーウォレットに保管されていたプロトコル準備金トークンがハッカーによって大量に盗まれ、すばやく売却された。これによりKII、TAC、NESなどのトークンは数時間で90％以上暴落し、多くの保有者が甚大な損失を被った。

当初、市場はこの一連の事故の背後にある共通要因——いずれもCosmos系ブロックチェーンであること——には気づかなかった。暗号資産市場ではハッカー攻撃はすでに日常茶飯事だったからだ。しかし昨日になってようやく市場は、これらの一連の事故がすべて、Cosmos Labsが8月19日にGitHubで公開したバージョンv0.7.2のアップグレードコードに起因することに気づいた。

Cosmos LabsはGitHubの当該ページで次のように記している。「このバージョンには重要なセキュリティ修正が含まれています。すべてのチェーンが、協調アップグレード方式でこのパッチバージョンへ可能な限り迅速にアップグレードすることを推奨します。今回のリリースは破壊的な意味合いを持ちます。」この文言ににじむ緊迫感は、この脆弱性の深刻さを反映している。

しかし、Cosmos Labsの対応は不可解だ。セキュリティパッチを完全に公開した一方で、このモジュールに依存する各プロジェクトチームには、非公開の事前警告や強制的なアップグレード通知を一切送らなかった。これは、金庫の鍵を公共の広場に掛け、「至急お取りください」と表示するようなもので、悪意を持つ者に研究と攻撃実行のための十分な時間を与えることになる。

「攻撃者がGitHubを読めるなら、ダウンストリームのチームにはGitHubより優れた何かが必要だ。脆弱性は常に起こり得る。企業インフラの評価基準は、脆弱性が発生した後に起きたすべてのことだ。誰がさらされ、誰が警告を受け、誰がパッチを受け取り、顧客と攻撃者のどちらが先に動いたのか。私たちはCosmos Labsの完全な事後分析報告書を必要としている。ただ、これは取り繕いようがない。連携は深刻なほど失敗した」と開発者の@justde氏は述べた。

攻撃を受けたKiiChainも投稿でCosmos Labsの無責任な対応を直接非難し、今回の事故は「回避できたはずだ」と述べた。

KiiChainによると、Cosmos Labsは金曜日に公告を出した際、修正プログラムを、それ以前に非公開で扱っていた一連の無関係な問題とひとまとめにした。当時は、資金の永久的な損失を招きかねない深刻な脆弱性が存在する場合のように、この件を極めて緊急の事項として扱うことはなかった。また、すべてのチェーンの一時停止を提案することもなかった。

KiiChainはこの脆弱性の具体的な攻撃の仕組みも公表した。この攻撃が成立するには、Cosmos EVMモジュールのアップストリームの欠陥が3つ同時に存在する必要がある。すなわち、ステーキングのプリコンパイル時に委任後の残高をEVMに書き戻す際に発生するアンダーフローと、まだ公開されていない別の2つの脆弱性だ。KiiChain固有のコードは今回の攻撃には関与していない。帰属アカウント（ベスティングアカウント）を有効化しているすべてのCosmos EVMチェーンが同じリスクにさらされている。

さらにやるせないことに、こうした攻撃は24日夜もなお続いていた。Nesaプロジェクトチームは直ちに公告を出し、ブロックチェーンを一時停止する措置を講じた。「私たちはL1上でCosmos EVMの脆弱性を悪用する悪意ある活動を確認しており、現在、影響を抑える措置を講じています。私たちは迅速に対応し、安全な運用を確保するためのソフトウェア修正とさらなる是正措置を適用した後、サービスを復旧します。」

この時点で、Nesaトークンはすでに94％以上暴落しており、それ以前の0.22ドルから0.011ドルまで下落していた。このような暴落から正常な運用を取り戻せるプロジェクトはほとんどない。

もっとも、このプロジェクト運営側は、複数のCosmos EVMセキュリティ事故が発生し、問題が明るみに出てから少なくとも2日が経過しても、リスクを回避する措置を自ら講じなかった。このことは、同プロジェクトの技術チームがリスクと責任に対する意識において著しく欠けていることを示している。

最も早いものでは21日、MANTRAは事件の根本原因をすでに特定したと公表し、それはMANTRA ChainのCosmos EVMモジュールに限定されるとしていた。

議論がますます広がる中、Cosmos Labsの公開回答声明は遅ればせながら発表された。「進行中のセキュリティインシデントがCosmos EVMモジュールのユーザーに影響を及ぼしています。Cosmos Labsのセキュリティおよびエンジニアリングチームは、この事象に積極的に対応してきました。当社に連絡をくれたCosmos EVMチェーンには、バリデーターにチェーンの一時停止を要請するよう助言しています。」

だが、もはや手遅れだった。各方面からの批判と失望がソーシャルメディアにあふれている。「彼らは数十のチェーンが依存する共有EVMモジュールを保守している。しかし、重要なプリコンパイルの脆弱性が現れたとき、主要チャネルでパッチを公開せず、明確なPoCも、調整されたデプロイ手順も示さなかった。これらのチェーンはあなたたちのコードのダウンストリームだ。あなたたちの仕事は、セキュリティパッチと、そのままデプロイできるPoCを迅速にリリースし、エコシステム全体がクリーンにアップグレードできるようにすることだ。ところが私たちが得たのは、アップストリームからの静かな破壊であり、各チームは孤立して苦闘するしかなかった」と開発者の@justde氏は述べた。

RootDataのデータによると、現在もCosmosトークンATOMの時価総額は8億ドルあり、すべてのトークンの中で68位に位置している。ただし、ピーク時からは95％以上下落している。

そのエコシステムの発展はここ数年も停滞が続いている。直近半年だけでも、Neutron、Mars Protocol、Pryzm、Leap Wallet、CosmostationなどCosmosエコシステムのプロジェクトが自ら運営停止を発表し、Secret Network、NobleなどのプロジェクトはCosmosエコシステムを離れ、独自のLayer1を構築するか、イーサリアムエコシステムへ移行することを発表した。

今回の連続窃盗事件は、Cosmosが抱える基盤コードのセキュリティ監査、クロスチェーンの連携メカニズム、緊急時対応体制における深層の欠陥を、疑いなく改めて浮き彫りにした。

セキュリティ脆弱性そのものは避けがたいかもしれない。しかし「パッチを公開しながらダウンストリームに通知しない」という常軌を逸した論理と、数々の「場当たり的な素人集団」のような対応は、すべてのビルダーを心底寒気づかせるに十分だ。