Cosmosが重大な脆弱性修正パッチを公開も事前通知せず、ハッカーが複数プロジェクトの金庫を先に「空に」

過去数日、Cosmosエコシステムで本来回避可能だった「セキュリティ災害」が発生した。MANTRA、TAC、KiiChain、NesaなどCosmos EVMモジュールを採用するブロックチェーンが相次いで攻撃を受け、各チェーンの金庫ウォレットに保管されていたプロトコル準備トークンがハッカーによって大量に盗まれ、即座に売却された。これによりKII、TAC、NESなどのトークンは数時間で90%以上暴落し、多くの保有者が甚大な損失を被った。

当初、市場はこれら一連の事故の背後にある共通要因——すべてCosmos系ブロックチェーンであること——に気づかなかった。暗号市場ではハッカー攻撃はすでに日常茶飯事だったからだ。しかし昨日になって市場は、これら一連の事故がすべて、Cosmos Labsが8月19日にGitHubで公開したv0.7.2バージョンのアップグレードコードに起因することに気づいた。

Cosmos LabsはこのGitHubページで次のように記している。「このバージョンには重要なセキュリティ修正が含まれています。すべてのチェーンに対し、可能な限り迅速に協調アップグレード方式でこのパッチバージョンへアップグレードすることを推奨します。今回のリリースは画期的な意義を持ちます。」この切迫した口調は、この脆弱性の深刻さを反映している。

しかし、Cosmos Labsの対応は不可解だ。彼らはセキュリティパッチを完全に公開した一方で、このモジュールに依存する各プロジェクトチームに対して一切の非公開の事前警告や強制アップグレード通知を送らなかった。これは金庫の鍵を公共の場に掛け、「速やかにお取りください」と表示するようなもので、悪意ある者に研究と攻撃実行の十分な時間を与えたことになる。

「攻撃者がGitHubを読めるなら、下流チームにはGitHub以上のものが必要だ。脆弱性は常に起こり得る。企業インフラの評価基準は、脆弱性発生後のすべての対応だ。誰が露出したか、誰が警告を受けたか、誰がパッチを受け取ったか、そして顧客と攻撃者のどちらが先に動いたか。Cosmos Labsの完全な事後分析レポートが必要だ。しかしこれはごまかせない。連携は重大な失敗だった。」と開発者@justdeは述べた。

攻撃を受けたKiiChainも声明を発表し、Cosmos Labsの無責任な対応を直接非難し、今回の事故は「回避可能だった」と述べた。

KiiChainによると、Cosmos Labsは金曜日に公告を発表した際、修正プログラムを以前に非公開で処理していた無関係な問題群と一緒にまとめていた。当時、深刻な脆弱性が存在し資金の永久損失につながる可能性があるというようには、これを極めて緊急の事項として扱わなかった。また、すべてのチェーンを一時停止するよう提案することもなかった。

KiiChainはこの脆弱性の具体的な攻撃原理も公開した。この攻撃が成立するには、Cosmos EVMモジュールの3つの上流欠陥が同時に存在する必要がある。ステーキングプリコンパイル時に委任後の残高をEVMに書き戻す際のアンダーフロー、およびまだ公開されていない2つの脆弱性だ。KiiChainの特定のコードは今回の攻撃には関与していない。帰属アカウントを有効にしているすべてのCosmos EVMチェーンが同じリスクにさらされている。

さらに残念なことに、この種の攻撃は24日夜まで続いており、Nesaプロジェクトチームは直ちに公告を発表し、ブロックチェーンを一時停止する措置を取った。「L1上でCosmos EVMの脆弱性を悪用した悪意ある行為を確認しました。現在、影響を抑えるための措置を講じています。迅速に対応し、ソフトウェア修正とさらなる是正措置を適用して安全な運用を確保した後、サービスを再開します。」

この時点で、Nesaトークンはすでに94%以上暴落し、以前の0.22ドルから0.011ドルまで下落していた。このような暴落から正常な運用を取り戻せるプロジェクトは極めて稀だ。

ただし、このプロジェクト側は、複数のCosmos EVMセキュリティ事故が発生し、問題が露呈してから少なくとも2日が経過しても、自発的にリスク回避の措置を取らなかった。これは、このプロジェクトの技術チームがリスクと責任の意識において深刻に欠如していることを示している。

最も早くは21日、MANTRAが事件の根本原因を特定したと公式に発表し、それはMANTRA ChainのCosmos EVMモジュールに限定されるとした。

議論が高まる中、Cosmos Labsの公式回答声明がようやく出された。「進行中のセキュリティインシデントがCosmos EVMモジュールのユーザーに影響を与えています。Cosmos Labsのセキュリティおよびエンジニアリングチームは、このインシデントに積極的に対応しています。当社に連絡してきたCosmos EVMチェーンに対し、バリデータにチェーンの一時停止を要請するよう推奨しました。」

しかし時既に遅く、各方面からの批判と失望がソーシャルメディアにあふれた。「彼らは数十のチェーンが依存する共有EVMモジュールを維持しているのに、重要なプリコンパイルの脆弱性が発生した際、主要チャネルにパッチを公開せず、明確なPoCもなく、調整されたデプロイ手順もなかった。これらのチェーンはあなた方のコードの下流だ。あなた方の仕事は、セキュリティパッチを迅速に公開し、すぐにデプロイ可能なPoCを提供して、エコシステム全体がクリーンにアップグレードできるようにすることだ。ところが我々が得たのは、上流からの密かな破壊と、各チームが孤立して苦闘する状況だけだった。」と開発者@justdeは述べた。

RootDataのデータによると、現在CosmosトークンATOMの時価総額は依然として8億ドルで、全トークン中68位だが、ピーク時から95%以上下落している。

そのエコシステムの発展もここ数年、挫折が続いている。直近半年だけでも、Neutron、Mars Protocol、Pryzm、Leap Wallet、CosmostationなどCosmosエコシステムのプロジェクトが自ら運営停止を発表し、Secret Network、NobleなどのプロジェクトはCosmosエコシステムを放棄し、独自のLayer1構築やイーサリアムエコシステムへの移行を選択した。

今回の連続窃盗事件は、Cosmosの基盤コードのセキュリティ監査、クロスチェーン連携メカニズム、緊急対応体制における深層的な欠陥を改めて浮き彫りにした。

セキュリティ脆弱性自体は避けられないかもしれないが、「パッチを公開しながら下流に通知しない」という理不尽な論理と、さまざまな「素人集団」のような振る舞いは、すべてのビルダーを戦慄させるに十分だ。