3つのパブリックチェーンが4日間で相次いで停止、誰が一時停止ボタンを押す権利を持つのか？

翻訳：Saoirse、Foresight News

わずか4日の間に、3つのブロックチェーンネットワークが相次いでブロック生成を停止した。各ネットワークの停止ではそれぞれ全く異なる緊急権限が行使され、正式なチェーン履歴の一部を書き換えたのはCronosのみだった。

Cronosによると、Tectonicプロトコルが脆弱性攻撃を受けた後、バリデーターがコンセンサスメカニズムを通じてネットワークを停止し、チェーンを攻撃発生前の状態に復元し、ブロック高90,896,189からブロック生成を再開したという。この措置はブロック生成を停止しただけでなく、チェーン状態を直接書き換えた。復元ポイント以降に生成された取引と状態変更は、すべて再起動後の正式なメインチェーンには含まれなくなった。

OntologyとICONは別の緊急手段を採用した。Ontologyは悪意ある攻撃行為を確認する前にブロック生成を一時停止し、9月1日の更新情報によると、この悪意ある活動によるユーザー資産の損失はなかったという。ICONはまず攻撃を受けたコントラクトを一時停止し、その後にネットワーク全体を停止した。財団によると、ネットワークは移行段階にあり財団が管理しており、その時点で盗まれたICXの大部分はすでに取引所のカストディ口座に移されていたという。

ブロックチェーンの停止は第一層の制御手段にすぎない。より深い問題は、誰がネットワーク停止を命じる権限を持つのか、彼らは確定済みのチェーン状態を書き換えられるのか、資金がクロスチェーンで移動したり中央集権的なカストディ機関に入ったりした後、どの損失が取り返し不能になるのか、という点にある。

ネットワークのトリガーイベント緊急措置で開示された権限情報、既知の復元リスクは以下の通り。CronosはTectonic脆弱性攻撃を受け、ネットワークを停止し脆弱性発生前のチェーン状態に復元。バリデーターのコンセンサスによるもので、再起動の告知では集計データと投票閾値は未開示。チェックポイント以降のオンチェーン活動はすべて無効化。イーサリアムへ流出した資金はCronosの管理範囲外。Tectonicプロトコルの最終損失集計は未完了。Ontologyは日常点検で潜在的リスクを発見し、後に悪意ある活動の存在を確認。予防的にブロック生成を一時停止し、ロールバックは実施せず。コア開発チーム、技術チーム、バリデーターが参加。緊急措置の発動閾値は未開示。修復とネットワークアップグレード中は取引を実行できず、ユーザー資産の損害は確認されず。ICONは移行コントラクトにリプレイ脆弱性があり、まずコントラクトを一時停止し、その後ネットワーク全体を停止。移行段階のネットワークは財団が管理し、コアバリデーター数は縮小。損失は財団が負担。取引所に預けられたICXを回収できるかはカストディアン、法的手続き、法執行機関次第。

Cronos、Ontology、ICONの3つのパブリックチェーンの緊急対応方法の比較

Cronos：停止からチェーン状態の書き換えへ

Cronosは今回の事案への対応を「バリデーターコンセンサスによる緊急措置」と呼んでいる。8月31日の再起動告知によると、協定世界時8月30日23:49:01に、ネットワークはブロック高90,896,189からブロック生成を再開し、チェーン状態はTectonic脆弱性攻撃の発生前まで巻き戻された。

Cronosの停止措置は、復元ポイントをめぐる利益配分の選択を意味する。チェックポイント以降、脆弱性に関連するオンチェーン状態は、その期間中の無関係な取引すべてとともに、正式なチェーンから消去された。再起動の告知には、取引リスト、バリデーターの統計、投票ウェイトの閾値、参加ノードのリストは添付されていない。Cronosは事後検証報告書の公表を約束しており、対応プロセスと技術的影響範囲の完全な説明が求められる。

今回の介入で実際に保護された資産規模すら、まだ確定していない。TRM Labsの推計では、TONICトークンの価格が操作された後、約7,500万ドル相当の資産が借り出され、うち約600万ドルがイーサリアムへ流出し、約6,870万ドルがCronosチェーン内でロールバックされた。Bitqueryの集計ではさらに大きな総流出規模が示され、約830万ドル相当の資産がイーサリアムへ流出し、合計10,961ブロックが破棄された。

2つの統計は対象が異なっており、Tectonic公式の最終損失データはまだ公表されていない。しかし一点はすでに明確だ。Cronosのロールバックは、自チェーン内に残っている状態しか復元できず、イーサリアムチェーン上の資産はまったくその管理下にない。

Tectonicの資産処理案には、ユーザーの会計上の問題が残っている。同プロトコルは、出金とローンの返済機能を優先的に開放し、同時に預入と新規借入を一時停止するとしている。この案はユーザーに退出とデレバレッジの経路を提供するが、資金供給側が全額償還できるかはまだ確認されていない。Tectonicが公表予定の事後報告書では、脆弱性の原理、資金の総流出額、不良債権の規模、回収済み資産、その他の残存債務を明らかにする必要がある。

各種インフラの復旧進捗は、チェーンコンセンサスの再起動とは同期していない。Cronosは、各種プロトコル、クロスチェーンブリッジ、ブロックエクスプローラー、RPCサービスにはさらに長い復旧時間が必要だと注意を促している。Alchemyのステータスページも今回の停止とその後の復旧を個別に記録している。チェーンネットワークは正式な再起動を宣言できるが、それに依存する各種サービスが必ずしも準備完了しているとは限らない。

Ontology：停止は対応時間の確保のみで、取引の取り消しはしない

Ontologyの対応措置は、悪意ある活動の確認前に行われた。ネットワークによると、コア開発チームが日常点検で潜在的なセキュリティリスクを発見し、直ちにブロック生成を一時停止し、技術チームとバリデーターによるシステム監査に委ねた。

9月1日の更新告知によると、監査で悪意ある攻撃行為の存在が確認され、メインネットは引き続き停止し、脆弱性の修復とネットワークアップグレードを実施するという。この攻撃によるユーザー資産への侵害はなかった。Ontologyの目標は24時間以内の通常運用再開だが、前提としてセキュリティ検査、脆弱性修復、アップグレード、テストがすべて順調に完了することとしている。

Ontologyの停止は、確定済みのオンチェーン状態をすべて保持し、新規取引の確定決済のみを停止する。告知では復元ポイントは指定されておらず、無効化すべき取引の集合も公表されていない。

公開された権限情報は完全ではない。告知ではコア開発チーム、技術チーム、ネットワークバリデーターが対応に参加したと述べているが、最終的な拘束力を持つ意思決定者が誰なのかは明示されておらず、数値化された緊急措置の発動閾値も示されていない。OntologyのVBFT文書には通常のコンセンサスメカニズムが説明されており、ノードによる確認ブロックの生成や、管理コントラクトによるコンセンサスノード集合の更新が含まれるが、文書は通常運用のシナリオのみを対象としており、8月31日に使用された緊急一時停止ルールは外部に公開されていない。

資産損失がなかったとしても、停止には依然として実質的なコストが伴う。Ontologyはユーザーに対し、オンチェーン取引が処理できなくなるため、時間的制約のある操作を行わないよう勧告し、その後、ネットワーク再起動は脆弱性修復、アップグレード、テスト次第だと述べた。ユーザーはオンチェーンでポジション調整や送金決済ができず、このチェーンに接続するすべての外部サービスはネットワークのシグナルを待つしかない。

復旧の判定基準はセキュリティを重視しているが、具体的な詳細は限られている。Ontologyは、修復、アップグレード、テスト、検証がすべて完了すれば、24時間以内のサービス復旧を目指すとしているが、誰が条件達成を判定するのか、発動閾値がいくつなのかは外部に開示されていない。

これによりガバナンス面の不確実性が生じる。告知には監査に参加した各当事者が記載されているが、最終的な再起動決定権を持つ主体は明確にされていない。ユーザーにとって、現在のリスクはサービス停止に由来するものであり、確定した資産損失やチェーンのロールバックではない。

ICON：なぜブロックチェーンの停止でも手遅れだったのか

ICONの事案は、アラート、対応、資産がチェーンの管理から離れるまでの全過程を完全に示している。

財団の事後検証報告書によると、攻撃者は協定世界時8月27日02:01:02から02:21:12の間に、2件の履歴上有効な署名付き出金メッセージを1,492回リプレイした。精度の欠陥により、そのうち1,490回の呼び出しが成功し、財団の資産プールから1億1,986.6万ICXと53万1,600bnUSDが引き出された。

02:08に監視システムがアラートを発したが、技術者による調査が始まったのはその後だった。影響を受けたコントラクトは03:53に一時停止された。各取引所は05:54から順次ICXの入出金を停止し、ネットワーク全体の停止は06:18:54に正式に発効した。ICONは8月28日07:51頃に再起動を完了し、停止時間は約25時間で、同時に根本的な脆弱性も修正された。

検証報告書は、問題の根本はイベント対応プロセスにあり、検知能力の不足ではないとしている。アラートは7分以内に発動したが、この種のアラートは無関係なRPC異常と混同されることが多く、システムは当直担当者に通知しなかった。技術調査が開始されたのは03:40頃で、コントラクトが一時停止されたのはその直後だった。

チェーンが正式に停止した時点で、影響を受けたICXの大部分はすでに取引所自身のカストディ体制に組み込まれていた。ICONチェーン側の管理手段では、取引所が保有資産を移転したり変換したりするのを防ぐことはできない。財団は、取引所の資産凍結、保全通知、弁護士、法執行機関に頼るしかない。

カストディの境界が損失の帰属を直接左右する。ICONは、影響を受けた資産はすべて財団に帰属し、一般ユーザーの預金・残高・保有ポジションには一切影響していないと表明した。報告によると、53万1600枚のbnUSD、136.6万枚のSODAはすでに全額回収済み。貸し出された11万3634枚のUSDCのうち、8万2430枚の回収が完了している。確定した純損失は約150.2 ETH、加えて3万1204 USDC。関係するICXの大半は取引所で凍結または追跡されているにすぎず、実際には回収されていない。

ICONのガバナンス構造も、他の2つの事例とは異なる。再発防止報告書には、トークン移行期間中はネットワークが財団の管理下にあったと明記されており、移行ガイドの文書では、コンセンサスはメンテナンスモードで稼働し、コアノードはわずか7つだったとされている。したがって今回の停止は、財団が明確に管理する特別な運用構造に依拠したものだった。

緊急権限の本質は、バランスシートレベルでの権力でもある

ブロックチェーンの停止は、そのたびに本質的にリスクを別の場所へ移転している。

Cronosは正式チェーンの履歴を変更した。チェーンの管轄内に残る資産は保護できるが、脆弱性とは無関係の正常なオンチェーン活動まで無効化され、イーサリアム上の資産には対処できない。
Ontologyはリスクを時間的コストとサービス可用性の喪失に転換した。調査中は取引が決済できず、資産の帳簿上の損失は確認されなかった。
ICONは資産がすでにチェーンの管理範囲外へ移転した後に、コントラクトとネットワークの隔離を完了した。確定した損失は財団が負担し、凍結されたICXの回収は取引所と司法機関に委ねられている。

単一の分散化スコアだけでは、これらまったく異なる結末は覆い隠されてしまう。より実務的な評価基準は次のとおりだ。緊急対応ルールは公開されているか。対応を発動する閾値は何か。新しいブロックの停止だけなのか、それとも確定済みのチェーン状態まで書き換えるのか。介入が発生した時点で、自チェーンの管轄外にある資産は誰が管理しているのか。残存損失を負担すると誰が約束しているのか。

CronosとTectonicは、依然として完全な再発防止報告書を公表していない。Ontologyは攻撃の詳細と緊急権限のルールを開示する必要があり、その後もアップグレードと再起動の判定条件が満たされたかどうかを確認する必要がある。本当に比較する価値があるのは、各ネットワークが引いたリスク境界線、つまりどの履歴・時間・資金がリスクにさらされるのか、ということだ。