Polygon、POLネットワークのAustin・Kyotoハードフォークで修正済みセキュリティ脆弱性を公開

Austin・Kyotoのhardフォークが潜在的リスクを封鎖

Polygon Labsは、PoSネットワークを混乱させ得る複数のセキュリティ脆弱性を初めて公表し、修正が直近2回のhardフォークを通じてすでに展開済みであることを確認した。今回公表された脆弱性は、同チェーンの中核クライアント2つ、すなわちブロック生成を担うBorと、バリデータ間の合意形成を統括するコンセンサス層のHeimdallにまたがっており、DoS(サービス拒否)リスク、バリデータのリソース枯渇、さらにチェックポイントおよびマイルストーン処理に係る欠陥が含まれると、Polygon LabsのValidators Support Teamによる開示文書は明らかにしている。チェックポイントとマイルストーンは、HeimdallがBorの状態を定期的にEthereumへ確定させる仕組みであり、この経路の欠陥はファイナリティ(最終性)の保証に重大な影響を及ぼしかねない。今回のアップグレードは高度な秘匿性を保って設計された。AustinとKyotoの両hardフォークは非公開のまま展開され、メインネット起動前に検証が完了。あくまで先に全ノード運営者がアップグレードする時間を確保する、いわゆる「協調開示(coordinated disclosure)」のリズムに従い、Polygon(POL)ネットワークのパッチ適用後に公表が行われた。最も深刻な問題はHeimdall側に存在した。細工されたトランザクションがバリデータに過剰な処理負荷を強い、ネットワーク全体を乱す恐れがあったという。Austinのhardフォークは別途、Borの2件のDoSリスクを解消し、いずれもブロック処理の遅延やノードのクラッシュにつながり得るものだった。Polygonの説明によれば、いずれの脆弱性もメインネットでの悪用は観測されておらず、詳細が公になる前に予防的に修正が施された。アップグレードの必要性は理論上の話ではない。hardフォーク起動高さを過ぎて旧バージョンのまま稼働したノードは、すでにコンセンサスから外れており、正規チェーンへ復帰するには更新が必須だ。Bor v2.10.0は全Polygon PoSノードに、Heimdall v0.11.0はバリデータおよびフルノードに必須で、両アップグレードはメインネットで既に有効となっている。旧MATICから改名したネイティブトークンPOLは、0.10ドル付近で取引されており、週足で約4%下落したものの、月足では44%上昇、年初来では2.3%のプラスだ(CoinGeckoデータ)。

ローソン実証実験がPolygonの決済基盤を試す

開発陣がチェーンの中枢を堅固にする一方、Polygonの決済基盤は日本のコンビニエンスストアのレジで実地検証を受けている。決済プロバイダーのNetStarsは8月17日、東京のローソンゲートシティ大森アトリウム店(原文のLawson Gate City Osaki Atrium)においてステーブルコインのPOS実証実験を実施した。これは8月6日に始まったシリーズの第2段階で、初回はローソン、ブロックチェーン企業のHashPort、通信大手のKDDIが、高輪ゲートウェイシティのローソン店舗で円建てステーブルコインJPYCを用い、HashPort WalletによるPOS連携決済をPolygon上で試した。最新の実験では、ローソンの既存のレジシステムをNetStarsのStarPay基盤上に構築された加盟店向けサービス「Stablecoin Pay」に接続し、日常の店舗業務がオンチェーン決済を支障なく取り込めるかを検証した。小売りにおけるPayFiの早期の実務設計図とも言える試みだ。移動した資産は3チェーン・3種類で、Solana上のドル連動型USDCとUSDT(MorphとPolygonにも展開)、そしてPolygon上のJPYC。顧客はMetaMaskウォレットから支払いを行い、導入を検討する読者はPolygonネットワークをMetaMaskに接続するガイドを参照できる。決済はNetStarsが実験向けに開発したブラウザベースのDAppフローで処理された。店員は既存のバーコード決済メニューを選び顧客のコードをスキャンするだけで、レジが決済手段を自動判別してNetStarsへ送信し、結果が返る仕組みで、端末に新しいボタンは一切追加されていない。目玉となったのは決済速度だ。来店時に観測された支払いはおおむね5秒で完了し、NetStarsの大福比寿久COO(Hisahisa Osafuku)は、昼時の混雑したレジ行列において重要な成果だと評価した。利用者はSOLやPOLといった各チェーンのネイティブガストークンを保持する必要はなく、NetStarsが手数料を立て替え、別途設定済みの0.98%の加盟店手数料とは別の処理手数料で回収する。規制面の論点はより鋭い。USDTは金融庁の電子決済事業者向け最新の登録資産リストに現時点で含まれておらず、NetStarsはレジで受け付けたUSDTを円へ換える方法について金融庁と協議中で、換金経路が国内か海外かは依然未定という。ローソンの田村太郎氏は今回のテストを商用展開ではなく準備作業と位置付け、加盟店からの需要申告は現段階でないと述べた。リアルタイムの市況を追う読者はBitgetで現物・先物のライブ価格を確認できる。

まず安全策、次にレジへ

今回の開示はPolygonの歴史的経緯を思い起こさせる。同社は過去に未修正の欠陥に起因するネットワーク停止を経験しており、2021年12月には約240億ドル規模のMATICに影響する脆弱性が判明、2025年にはBorノードのバグがチェーン分裂を引き起こした。この実績と比べれば、Austin・Kyotoの問題をメインネットでの悪用前に修正した今回は、比較的迅速な対応と言える。業界の見方も「まず修正、後に開示」の手法を標準的な実務と捉えており、Ethereum、Cosmos、Solana各エコシステムでも同様の協調開示戦略が採られていると指摘する。残された論点は2つある。主要バリデータ全員のアップグレード完了を確認してコンセンサス分岐の可能性を排除すること、そしてPolygon LabsがCVE番号の付与や定期的なセキュリティレポートのような、より体系的な開示制度を導入するかどうかだ。今後の注目は、Layer 2競合に対するネットワークの位置づけと、zkEVM統合の進捗に向かう。(03:01 UTC時点)2つの話題を併せて読むと、1つの文脈が見えてくる。実利用に向けた準備が、セキュリティと実証の両面で同時進行しているということだ。Polygon Labs自身の開示文書(本件の一次資料)は、脆弱性のメインネット悪用は皆無で、Bor v2.10.0とHeimdall v0.11.0が必須となったことを明記しており、ローソンのような小売りパートナーが事実上依存する静かなアップグレード経路を示している。ローソン実験におけるガス抽象化、すなわち支払い者がPOLに一切触れない設計は、決済量が拡大してもトークンが裏方に回り得ることを実証した。POLは直近24時間で約5%下落し、アルトコイン市場全体の軟調も相まって、月足で大きな上昇を記録したものの短期的なセンチメントは沈滞気味だ。