NEAR共同創業者Illia Polosukhin氏、インターネット全体に「セキュリティのアルマゲドン」が来たと警告

10月22日の警告

Xへの投稿で10月22日、NEARプロトコルの共同創業者Illia Polosukhin氏は、インターネットがすでに「セキュリティのアルマゲドン」の段階に達したと宣言した。長年使われてきたソフトウェアの脆弱性が顕在化し、他の攻撃へ連鎖している結果、現在のウェブのかなりの部分が何らかの形で影響を受けているというのが同氏の主張だ。この警告は単発の事故ではなく構造的な問題として提示されている。長年保守されてきた基盤部品、認証システム、共有インフラの弱点が、その上で動くアプリケーション全体を晒し、依存関係の一つの欠陥がそれを信頼するすべてのサービスを巻き込む。同氏が挙げた「圧力点」は具体的だ。PHP(WordPressを含む)は現在もウェブのコンテンツ層の多くを支えているが、その基盤は長年保守された部品のまま。ほかに悪意のあるTLS証明書、Node.js、LiteLLMが並ぶ。いずれも運用者が中身を確認することの少ないスタックの根幹に位置し、個別のバグではなく部品の保守体制こそがシステム全体の問題だと同氏は捉える。対策案も具体的だ。検閲なしのAIモデルがセキュリティチームの欠陥調査と脅威対応を加速する。次に形式検証、つまり認可や取引処理を含む数学的に厳密に定義した要件に対してソフトウェアを検証する手法が第二の防衛線となる。第三の提案は、従来のAPIキーやアクセストークンを暗号学的認証に置き換え、稼働先のプラットフォーム提供者からもソフトウェアを保護できるホスティングと組み合わせる案だ。運用者への当面の指示は平明だ。更新を適用し、影響を受ける部品にパッチを当て、認証情報を更新する。警告が発表された時点で、NEARの価格は5ドル付近だった。当社のライブ監視では、直近24時間で3.8%下落、前週では8.21%上昇、月間では13.21%上昇し、時価総額は約65億7,000万ドルとなっている。「アルマゲドン」という言葉をFUDとして片付ける向きもあるだろうが、創業者の主張はセンチメントではなく公開された勧告に基づいている。

裏付となる記録は公開されている。9月24日、PHPの保守チームはセキュリティ勧告を公開し、細工されたTLS証明書名によって引き起こされるメモリ処理の欠陥を記述した。対象はPHPのOpenSSL統合の特定バージョンで、その後のメンテナンスリリースで修正済みだ。この文書が示すのは可能性としてのメモリアクセス障害であり、WordPressサイトへの攻撃の波が実現したことの確認ではない。Node.jsは10月15日に別の問題に直面した。HTTPクライアントライブラリUndiciの保守チームが、証明書検証、接続処理、サービス拒否状態にまたがる脆弱性を開示したのである。LiteLLMの保守チームもそれに先立ち、認証済みユーザーがルーティングパラメータを操作し、サーバーサイドリクエストを通じてプロバイダの認証情報に到達しうる欠陥を文書化していた。勧告を読み合わせれば具体的な弱点は確認できるが、単一の組織的キャンペーンを証明するものではない。Polosukhin氏の修辞と根拠文書の間には、この距離がある。対策側にも留保が付く。ソフトウェアの挙動を数学的表現に変換し、元のプログラムに対してその表現を検証できる信頼性の高いAIシステムは、必要な水準にはまだ存在しないと同氏自身が認めている。NEAR Protocol (NEAR)の研究ラインも同じ方向だ。10月19日に公開された研究では、AIエージェントが672件の数学的証明問題を解き、モデルのコストは推定111.85ドルだった。自動検証に向けた進展として位置づけられる一方、数学ベンチマークと稼働中アプリケーションの安全性の証明は明確に区別されている。このテーマにはネットワーク上の実例もある。NEARのクロスチェーン取引インフラであるNEAR Intentsは、BNB Smart Chain上のUSDTが関与した380万ドルの不正引き出しを受けて10月1日に運用を再開した。プロジェクトのSHIELDセキュリティシステムが異常な活動を検知し、運営者は影響を受けたサービスを停止、開発者は検知から1時間以内に脆弱性を修正し、全額補償を約束した。基盤チェーンと無関係なアプリケーションには影響が出ていない。この事故と今回の警告に挙げられた欠陥を結ぶ接点はないが、いずれも相互接続されたサービスが抱えるリスクを示す事例だ。当社の先行報告で、NEAR Intentsのクロスチェーンスワップ量が24時間で1億3,000万ドルを超えた点を確認しており、この部品がすでに重大な取引量を担うことを踏まえれば、リスクを評価する読者はまず当社のブロックチェーン監査ガイドから始めるとよい。

先物未決済建玉は7.45%減

市場の当初の反応は警戒だが、パニックではない。デリバティブの建玉データでは暗号資産先物の未決済建玉が7.45%減の15億ドル、先物出来高も6%減の25億6,000万ドルとなった。レバレッジを効かせた証拠金取引ポジションの後退はデレバレッジングであり、ただし建玉だけではロングとショートのどちらが決済されたかは判別できない。現物データは10月22日に約921万ドルの純流出を記録し、取引所の供給は減ったが、買い集めの証明にはならない。日次出来高は約10億8,000万ドルだった。チャート上でトークンは5.066ドルのミドルボリンジャーバンドを下回り、相対力指数は55.85の平均に対して52.88。当社のサポート・レジスタンス水準では、下方は4.80ドルと4.51ドル、上方は5.62ドルが機能している。アナリストのRekt Capitalは3.79〜5.97ドルの広いレンジを描き、Michaël van de Poppeは4.30ドルを割り込めば高値切り上げ構造が崩れるとみる。依然として証明されていないのはPolosukhin氏の処方箋の中核だ。ソフトウェアを数学へ変換する本番運用のAIシステムはまだ存在せず、今日実行可能なのは同氏が運用者に示した手順、パッチ適用と認証情報の更新、そしてその繰り返しにとどまる。