ハーモニー、攻撃前へのロールバック計画公表。約11万件の取引破棄へ

約3兆ONEの不正発行受け、攻撃前へのロールバック計画

レイヤー1ブロックチェーン「ハーモニー（Harmony）」が、不正に発行されたネイティブトークン「ONE」を除去するため、ブロックチェーンを攻撃前の状態へロールバック（巻き戻し）する計画を日本時間8月17日に公表した。

ロールバックとは、ブロックチェーンを過去の状態へ戻し、それ以降に記録された取引を無効にする復旧方法だ。今回の計画では、約10万9,000件の通常取引と315件のステーキング取引が取り消される見込みとなっている。

今回の計画では、シャード（Shard）0を日本時間8月12日8時25分37秒時点のブロック92,730,034、シャード1を同時刻のブロック94,978,278まで戻す。ハーモニーは、シャード0のブロック92,730,036で最初の不正発行を確認したと説明した。その直前のブロック92,730,035には通常取引やステーキング取引などがなく、92,730,034と同じ状態だったため、安全性を考慮して92,730,034を復旧地点に選定したとのことだ。なお、不正発行はシャード0で発生したが、シャード1についても予防措置として同時刻まで巻き戻すとのことだ。

今回のロールバックは、8月12日に発生したセキュリティインシデントを受けた対応だ。ハーモニーは8月13日に公表したインシデント報告で、最初に確認された不正発行分として40億ONEを報告した。

その後、チェーン全体の解析を進めた結果、6件の偽造クロスシャード取引を通じて約3兆100億ONEが不正に発行されたと報告した。40億ONEは最初に確認された不正発行分であり、約3兆100億ONEはその後のチェーン全体の解析で確認された発行量となる。ハーモニーは引き続きチェーンレベルの解析を進め、両数値の整合を図るとのことだ。

ハーモニーは、不正発行につながったクロスシャード送金の検証処理に脆弱性があったと説明した。また、過去のプレステーキング期のブロックを検証する際に使われるクォーラム検証にも別の不具合が確認されており、この不具合が今回の攻撃に利用されたかどうかについては引き続き調査しているとのことだ。ハーモニーは、これらの問題についてはメインネット向けソフトウェア「v2026.1.1」で修正済みだと説明した。これにより、新たな不正発行は防止できるとのことだ。

脆弱性は修正済みも、偽造ONEが市場へ拡散

ハーモニーによると、脆弱性を修正しただけでは問題は解決しなかった。不正発行されたONEは短時間で取引所や分散型取引所（DEX）、ブリッジ、ステーキングなどへ移動し、市場へ拡散したためだ。このため、攻撃を止めることはできても、すでに流通した偽造ONEだけを取り除くことは難しい状況になったとのことだ。

ハーモニーは、偽造されたONEのみを焼却する方法や、特定ウォレットをブラックリスト化する方法、一部の取引だけを再実行して復元する方法、トークン移行、データベースを単純に巻き戻す方法などを検討した。

各案を比較した結果、DEXでは複数の利用者の資産が流動性プールとして共同管理されており、ブリッジなどでも資産が混在していることから、偽造分だけを焼却すると正当な利用者の資産まで失われる可能性があると説明した。

一方、一部の取引のみを復元する方法についても、ロールバック後は残高やスマートコントラクトの状態が変わるため、同じ取引でも異なる結果になる可能性がある。このため、公平かつ安全な基準を設けられないと判断したとのことだ。

ハーモニーは、シャード0の約10万9,000件の通常取引を分析した。その結果、約95.8％は自動取引で、その大半をDEX関連の自動取引が占めたとのことだ。ただし、取引件数は利用者数を意味するものではなく、単純な送金に見える取引であっても、残高やノンス（Nonce）、後続取引との関係などから安全に復元できるものは確認できなかったとのことだ。

このため、すべての利用者へ同じルールを適用し、偽造された状態を確実に取り除く方法として、一定時点までチェーン全体を巻き戻す方法が最も公平かつ安全だと結論付けた。

ハーモニーは現在も、不正発行されたONEの資金移動について調査を進めている。攻撃者のウォレットから流出した資金については、取引所や分散型取引所（DEX）、ブリッジなどへの移動経路のほぼ全体を追跡できたと説明した。一方で、資金の移動経路を追跡できたことは、送金先の個人を特定したことや、追跡したすべてのONEを安全に焼却できることを意味するものではないと強調した。取引所やブリッジ事業者、法執行機関と連携しながら調査を継続しているとのことだ。

画像：PIXTA

関連ニュース

参照元：ニュース – あたらしい経済

コメント

タイトルとURLをコピーしました