Ethereum財団、Glamsterdamで崩壊する8つの不変条件の検証を要請

EIP-8037とEIP-8038、ガス計算の分割問題

Ethereum Foundationが11月6日、スマートコントラクトの開発者や監査企業に対し、次期大型アップグレード「Glamsterdam」に向けた仕様変更が自らのプロジェクトに与える影響を検証するよう直接要請した。検証を支援するため、財団は実行中のコードが暗黙のうちに依存している可能性のある8つの不変条件を一覧にした資料を公開した。各項目には、条件そのもの、それが成立しなくなる理由、そして実際のコードのどこにその前提が現れるかが記されている。焦点は2つの改善提案だ。EIP-8037は新しい状態の生成に伴うガスコストを変更し、EIP-8038は既存の状態へのアクセスコストを見直す。ここで状態とは、アカウント情報や保存済みコントラクトが保持するデータを指す。Ethereumでは、ガス代が取引やコントラクト実行が消費する計算資源の量を測る。単純な送金から入れ子になったコントラクト呼び出しまで、ネットワーク上のあらゆる操作がこの予算を消費する。EIP-8037は単なる価格改定にとどまらない。現在は一つの枠で賄われているガスを、状態の生成に使う分と通常の処理に使う分に分け、別々の計量バケットを導入する点が核心だ。事実上、今日は単一の数値でカバーされている2種類の資源を別々に価格付けすることになる。その結果、操作が必要とするガス量と、実行の途中で操作が失敗した後に残るガス量の両方が変わり得る。この2番目の影響こそ、稼働中のコードが直面するリスクだ。資料の対象は既にデプロイ済みのコントラクトで、変更されたルールは草案ではなく稼働コードに降りかかる。8つの条件のいずれかに依存を発見した開発者や監査担当者は、財団に直接連絡するよう求められている。この要請の時点で、Ethereum(ETH)の価格は直近24時間で5.1%下落していたが、連絡の動機は市場の方向ではなくアップグレードの進行にある。

危険性を最初に描き出したのはセキュリティ企業のChainSecurityだ。10月13日に公表した技術分析で、特定の不変条件が成立し続けることをコントラクトが前提としているため、仕様変更後に脆弱になり得る複数のプロジェクトを特定した。具体的な破綻パターンは外部呼び出し、すなわちコンポーザビリティを持つシステムが相互にやり取りする際の仕組みに関わる。今日では、外部コントラクトへの呼び出しがガス不足で失敗すると、後続の操作は完了できず、取引全体が取り消される。ところが提案中の仕様では、失敗した操作が再試行不能のまま残る一方で、後続の操作だけが完了し得る。コントラクトは作者が想定しなかった状態に置かれる。財団の新しいリポジトリは、Glamsterdamが崩す8つの不変条件を記録し、各条件に解説と実例、そして開発者が自己点検時に実行できる確認項目を添えている。なお、テストネットHoodiでのGlamsterdamの遅延は新しい話ではない。10月22日、財団はEIP-8037がメインネットのコントラクトとどう相互作用するかの追加検討を理由に、10月26日予定だった有効化を延期した。代替日程は示されておらず、未解決の問題が片付くまでアップグレードは保留のままだ。影響調査はChainSecurityと監査企業のDedaubの支援を得て進んでおり、両社は変更後のルールが既存のデプロイにどう着地するかを検証する。財団自身の内部監査も並行して行われるが、財団はすべてのプロジェクトを網羅できるわけではないと認めており、オンチェーンのコントラクトと対になるオフチェーンのコードはとりわけ対象外になりやすい。最終判断はAllCoreDevsの開発者電話会議に委ねられており、同会議はまず、有効化後に動かなくなるものの目録と、破綻を防げる仕様の選択肢を整理する必要がある。財団が強調するのは、この会議が結論を出すまで仕様の何も確定しないという点だ。一方、Glamsterdamの次のアップグレードであるHegotaの作業は並行して続いており、影響を受けていない。

AllCoreDevsが判断の分岐点に

EIP-8037の核心にあるガス分割は、仮想マシンそのものの会計処理変更だ。だからこそ財団は、日常的なパラメータ調整ではなくプロトコルレベルのリスクとして扱っている。デプロイ済みコントラクトの運営者にとって、8つの不変条件を載せたリポジトリは抽象的な論争を具体的なチェックリストに変える。裁定を待たずに、名指しされた8条件に対して自プロジェクトの前提を試せる。限界は網羅範囲であり、財団自身がそれを認める。オンチェーンとオフチェーンのコードを完全に掃き直すことは不可能だ。次の確定点はAllCoreDevsの会合で、判断には破綻目録と仕様の代替案の両方が机上に揃うことが前提になる。