Consensys、Ethereum (ETH)証明偽造を許しうるgnark脆弱性を開示 重要度7.5

Consensysがgnarkの証明検証回避の脆弱性を開示

Ethereum (ETH)基盤の開発企業Consensysが維持するオープンソースのゼロ知識証明ツールキット「gnark」に、重要度7.5(10段階、High相当)の脆弱性があることが分かった。一部の環境では、偽造された計算結果が正当な証明として検証を通過しうるという内容だ。同社は11月9日、GitHub上でセキュリティアドバイザリを公開し、この問題を開示した。アドバイザリによれば、核心はgnarkが一部の暗号学的演算の結果を適切に検証していない点にある。ここでの検証とは、元データを直接見ることなく、計算が主張どおり正確に行われたことを確認する仕組みを指す。問題とされた曲線はBLS12-381とBW6-761の2系統である。攻撃者が計算に入力される値を操作すると、検証側が本来の正しい結果とは異なる出力を受理してしまう。つまり、誤った答えが「検証済み」として偽装されうる。もう一つの欠陥は入力値の検証に関するもので、gnarkは計算に使う値が暗号学的操作が定める条件を満たすかを確認していない。このため、正しい計算と整合しない結果も検証を通過しうる。セキュリティ研究者らは両問題を実験的に確認し、本来なら拒否されるはずの偽造ゼロ知識証明を実際に作成したという。ゼロ知識証明は業界全体でプライバシー決済やZKスケーリング基盤を支える技術であり、共有ライブラリの検証側欠陥は単一プロジェクトのコードベースにとどまらない影響を持ちうる。Consensysは、ツールキットの稼働環境によっては署名検証、ブロックチェーン上の計算結果、あるいは複数の証明を一括確認する再帰的証明検証の偽造が可能になる可能性を警告した。問題は非公開の報告経路を通じて伝えられており、悪用の痕跡は現時点で確認されていないという。アドバイザリにはイーサリアムの価格への影響評価は含まれておらず、今回の弱点はチェーンのプルーフオブステーク型合意形成層ではなく、証明を生成するソフトウェア側に存在する。

修正版gnark 0.16.5がリリース

今回の開示はライブラリ自身を超えて意味を持つ。Consensysは自社のEthereum (ETH) レイヤー2ネットワークLineaでgnarkを運用しており、レイヤー2はトランザクションをメインチェーン外で処理し、その結果の圧縮証明をEthereumへ戻す仕組みだ。偽造証明が受理される場合に最も被害が大きくなるのは、まさにこのパイプラインである。列挙された攻撃対象の一つ、再帰的検証は多数の証明を一つに圧縮する手法であり、偽造された一歩が検証の連鎖全体に波及しうる。アドバイザリによれば、核心的な欠陥はgnarkのバージョン0.16.0から0.16.4に影響する。BLS12-381はEthereumのバリデータ署名に使われるペアリング対応曲線であり、欠陥がチェーンの暗号スタックに直結する可能性を示す。BW6-761は再帰的証明の場面でこれとペアを組むよう設計された曲線だ。開発チームは関連コードの監査中、この開示より前から存在していた追加の検証問題も発見し、同一リリースで修正した。修正版gnark 0.16.5はすでに公開されている。Consensysは二つの欠陥について対応を明確に区別した。一つ目はアップグレード以外の対策がなく、二つ目は対象処理に特定の検証ステップを追加することで暫定的に対処できるとしている。アドバイザリは、すぐにアップグレードできないチーム向けの実践的な手順も併記しており、パッチは依存パッケージの更新として各プロジェクトが自ら取り込む形になる。そのため、ライブラリを運用するチームは、どのコードパスを使っているかに応じて対応の緊急度が異なる。同社は脆弱性がアドバイザリ公開前に非公開で報告されていたこと、現実の悪用を示す兆候はこれまで検出されていないことを明らかにした。一方で、Lineaの稼働中の証明スタックが影響バージョンを実際に実行していたかについては言及がなく、自社ネットワークの実質的な露出は不明のまま残された。アドバイザリは偽造リスクを、特定ネットワークで確認されたものではなくアプリケーション環境に依存する条件付きのものとして位置づけている。

gnarkは合意形成の外側に位置する

Ethereum (ETH)自体への影響は、7.5というスコア単体が示すよりも限定的だ。gnarkは証明生成のインフラであり、合意形成コードではない。ブロック生成、バリデータ集合、スマートコントラクトの実行は、アドバイザリが扱わない別の実装上で動いている。リスクが集中するのはgnarkを組み込むシステム、とりわけLineaと、再帰的に検証された証明に依存するアプリケーションである。攻撃事例が確認されていない現時点では、これは技術的な開示にとどまり、市場全体を動かすFUDには至っていない。ただし開いた窓は、11月9日のアドバイザリ公開から依存プロジェクト全体でアップグレードが完了するまでの期間である。確定していないのは、Consensys自身が言及を避けた疑問、つまりLineaの本番用proverが影響バージョンを一度でも実行したかどうかだ。Ethereumを取り巻く広いインフラスタックは、これまでにもGitHubやオンチェーン経由でセキュリティ警告を受けてきた。Swarmのサプライチェーン攻撃に対するSlowMistの警告から、Ethereumのジェネシスウォレットにまつわるダスティング詐欺まで、依存関係の監査が常備の防御策となる構図は繰り返し示されている。