IntersectがCardano(ADA)プール運営者に重大度9.8のLinux脆弱性を警告

Intersectがプール運営者に警告

Cardano (ADA)のガバナンス調整機関であるIntersectは、10月30日、ステークプール運営者に対し重大なLinux脆弱性を警告した。この脆弱性は、Cardanoのブロック生成を担うサーバーをクラッシュさせ、設定によっては外部の攻撃者に制御を奪われるおそれがあるもので、CVE-2026-98432として管理されている。CVSS重大度スコアは10点満点中9.8点で、バージョン4.4まで遡るカーネルに影響が及ぶと、Intersectの週次アップデートが明らかにした。Linuxはブロックチェーンを支える多くのサーバーの基盤であり、今回のバグは細工されたインターネット要求を通じてサーバーのメモリ処理を乱す仕組みだ。攻撃が成功するとマシンがクラッシュするか、特定の設定ではパスワードなしに第三者が完全アクセスを得る。CVSSで9.8点は、遠隔から低い手間で攻撃できる欠陥に割り当てられる最上位の区分に当たる。

警告の背景には、Anthropicが10月27日に公表した研究がある。同社は自社のAIシステムClaudeが、複数経路で同時に接続を確立できるマルチパスTCPを使うサーバーに対し、この種の攻撃手法を導き出したと説明した。自動テストは53分で実用的なエクスプロイトを作り上げたと、同社の研究投稿は述べている。その後、公開テストコードも出回ったが、サーバー完全掌握までには至っていない。Cardanoのプール基盤への攻撃はこれまで報告されておらず、市場データもCardanoの価格への直接的な影響を示していない。Cardanoのブロック生成の大半はLinuxサーバーで動くため、通知は一般の保有者ではなく運営者に向けられた。対象は台帳そのものではなくインフラ層だが、Intersectは週次の調整アップデート内で警告するほど緊急性が高いと判断しており、ネットワークのブロック生成はまさにこのバグが狙う種類のLinuxマシン上で動いている。

UbuntuとRed Hatでは修正が遅れ

リスクの広がり方はステーキングの仕組みを通じている。Cardano (ADA)のプルーフオブステーク設計では、保有者がブロック生成と報酬獲得を担うプールへ委託する。現在、約215億ADA、すなわち循環供給量の約58%がネットワーク上で委託されている。この仕組みではコインが所有者のウォレットから出ることはなく、Cardanoの公式文書は委託済みADAがいつでも使用可能だと明記している。つまり、プールが乗っ取られても委託者のコインの所有権が奪われることはない。ただしオフラインになった場合は話が変わる。同じ文書は、プールのパフォーマンス低下がプールとそのメンバーの受け取る報酬を減らすとも述べており、このバグでサーバーが停止すれば、元本に触れる前に報酬が目減りする。委託がこの規模に達しているからこそ、警告がまず運営者に向けられた。被害は保有者のウォレットではなく、運営者の稼働率に出るからだ。

修正の提供状況は、運営者が実際に使うディストリビューションごとにばらついている。上流のLinuxでは10月5日に修正が取り込まれた。一方、Ubuntuは10月30日時点で依然として脆弱で修正が進行中、Red Hat Enterprise Linuxは修正を保留とし、AlmaLinuxはパッチ済みカーネルがまだテスト段階にある。運営者が単一の標準イメージを使っているわけではないため、同じバグでもサーバーごとに露出の度合いが異なる。Intersectは、自分のディストリビューションが対応済みだと決め込まず、サーバーの点検、更新の適用、再起動を行うよう運営者に呼びかけている。この一件は昨年11月、別のバグがCardanoを一時的に二つのチェーンに分裂させた事故を思い起こさせる。この時もユーザー資金は損なわれずに終わった。現在の脆弱性で盗まれた資金や失われた報酬は確認されておらず、今後は委託総額ゆえに稼働率が直接的な経済問題となるCardanoのプール基盤に修正がどの速さで展開されるかが焦点になる。運営者や委託者が構成を見直す際は、Cardanoステークプールの選び方のガイドを参照できる。

未解決の問いは実際の露出度であり、現時点の記録では確定していない。上流カーネルの修正は10月5日に到着したものの、10月30日時点でUbuntuとRed Hatのパッケージは未修正のまま残り、リスクの残りはこれらのディストリビューションを使う運営者に集中する。Cardano (ADA)のブロック生成者のうち何社が修正を適用したかを示す公表済みの数値は存在せず、その限りで警告と攻撃不在はどちらも成立したままだ。この一件が明確にしたのはリスクの形状だ。委託者のコインはプールサーバーの動向にかかわらず自分のウォレットに置かれるため、被害は預託ではなく報酬と稼働率に現れる。近年、115,172ADAをトレジャリーに返還し、メインネット初の動きを実現したばかりのIntersectは、今度は異なる種類の調整試練に直面している。