Cosmos Labs、EVMバグの誤判断でCosmos(ATOM)6チェーンから572万ドル流出

Cosmos Labs、脆弱性評価の誤りを認める

Cosmos Labsは、共有Cosmos EVMモジュールにおける残高処理の脆弱性を無害と誤って判断していたことを認めた。この誤判断に続いて発生した エクスプロイト により、8月20日から8月25日の間に、Cosmos(ATOM)系ブロックチェーンネットワーク6チェーンから総額約572万ドルが流出した。事態の発端は4月25日までさかのぼる。この日、同社は脆弱性の初回報告を受け取った。エンジニアチームが検証した結果、この欠陥が影響を及ぼしうるのは小数点以下6桁のトークン単位を採用するネットワークのみであり、既知の稼働中Cosmos EVMチェーンはすべて18桁を使用している――そう結論づけ、稼働中の全ネットワークは影響を受けないと判断したのである。

この結論に基づき、Cosmos Labsは5月に「サイレントパッチ」と呼ばれる方式で修正をマージした。これは、チェーン運営者に実際の変更内容を知らせないまま修正済みコードをリリースするプロセスだ。この前提は8月上旬まで維持されたが、独立系研究者らが、この脆弱性は実はすべてのCosmos EVMチェーンに影響していたことを確認。 Berachain などCosmos-SDKベースのEVMネットワークを支える共有実行レイヤー全体が対象だったのだ。しかし決定的だったのは、タイミングの失敗である。Cosmos Labsは8月19日午後7時1分(米東部時間)にパッチをリリースしたが、リリースノートは変更を単に「重要なセキュリティ修正」と記すだけで、技術的詳細は一切示さなかった。翌8月20日午後3時6分、最初の攻撃波が始まった。修正の公開からわずか約20時間後である。この時間差こそが、サイレントパッチのジレンマの最も先鋭な形だ。詳細を伏せることは、運営者がアップグレードを完了するまで攻撃者にロードマップを与えないことを意味するが、パッチがチェーンの更新配信より速くリバースエンジニアリングできるなら、公開から防御までの間隙がそのまま攻撃者の窓になる。さらに、問題のコードがチェーン固有のロジックではなく共有モジュールだったため、単一の欠陥が6ネットワークに同時多発的に波及した。今回の事案は、透明なブロックチェーンにおける事後的な資金回収の限界も浮き彫りにした。盗まれた資金は追跡可能な経路をリアルタイムで移動する――この可視性は、 Monero(XMR)に代表されるプライバシー資産 ではデフォルトでフローが不明瞭化されるため、そもそも存在しないものである。

Swiftの台帳、相互運用性に賭ける

SWIFTは、決済指図を中継する53年の歴史を持つメッセージングネットワークであり、1日約5兆ドル規模の支払い指図を流している。ブロックチェーンの挑戦に対し、同社は既存のレールを防衛するのではなく、むしろ取り込む道を選んだ。そのブロックチェーン型共有台帳は7月に稼働し、HSBCとスタンダードチャータードがそれぞれ実際の越境取引を完了させ、24時間365日体制で動くトークン化決済インフラを確立した。SWIFTが守るスケールは巨大だ。1日5,300万件超の金融メッセージを、200を超える国・地域の11,500の金融機関向けに処理し、支払い指図の75%は10分以内に宛先銀行へ到達する。この構想で引用されたマッキンゼーの推計では、世界の決済市場は年間約2,000兆ドル規模とされ、SWIFTはそのうち年間1,200兆〜1,500兆ドル程度を扱っている。

どの見出し数字よりも重要な詳細がある。SWIFT自身は資金を保有も移転もしないのだ。銀行が口座を借方・貸方に計上できる標準化された指図を送るだけで、実際の決済は、1〜5営業日を要しうるコルレスバンキングの連鎖を這うように進む。まさにこの層こそ、ブロックチェーンのレールが狙う部分だ。ステーブルコインはウォレット間で24時間動き続ける――従来 PayPal などに支配されてきた消費者決済モデルの領域であり、 利付ステーブルコイン のような設計も登場している。一方、トークン化預金は銀行にオンチェーンでの口座間決済を可能にし、コルレスをまるごと迂回する。Yellow CardのCEO、Chris Mauriceは、これらのレールが一度整備されれば従来型のSWIFTソリューションは不要になると論じ、資金移動への課金というビジネスモデルを変えない限り中間層は苦戦すると主張する。これに対し、スタンダードチャータードのデジタル決済責任者Naveen Mallelaは、越境価値の大半は今もウォレット間ではなく口座間で流れていると反論する。SWIFTのデジタル資産戦略責任者Jack Pouderoyenは、本当の問題は断片化――各行の専有台帳、複数チェーンに散らばる発行体――だと位置づけ、銀行が既に持つSWIFT接続を通じて到達できる共有の相互運用性レイヤーこそが答えだとする。1日6兆ドルを動かすシティと、17行のパイロット銀行の一角であるUBSは、単一の勝者ではなくハイブリッドなエコシステムを想定している。 市場をリアルタイムで追いたい読者は、MEXCで現物・先物価格をライブで確認できる。

圧迫される中間層

2つの出来事は、突き詰めれば「中間層の価値は何か」という問いに集約される。Cosmos Labsの8月19日付リリースノートは、変更がセキュリティ上クリティカルであることしか明かさなかった――この不透明性こそ、共有モジュールの単一欠陥が6チェーンを一度に直撃することを許した。SWIFTの答えは正反対の賭けだ。台帳を公開し、11,500行との接続を維持し、資金移動の関所ではなく相互運用性レイヤーになることである。当メディアの見立てはこうだ。ユーザーと決済の間に挟まるインフラは、これから進行中の再評価を生き延びるために、抜本的な透明性か、代替不可能なリーチか――理想的にはその両方――を実証しなければならない。