ブロックチェーン/レベル VIII · ミームコインの時代/8.1 Solanaの物語/レッスン 3
ワームホールとブリッジハック
コードにエラーが発生したときに途切れる保管チェーン
用意するもの2022年2月のワームホールインシデント報告書チェーンアナリシスのクリプト犯罪レポート（2023）におけるクロスチェーンブリッジへのハックに関するセクションEthereumやSolana用のブロックエクスプローラーインターフェースで、ラップされたトークンコントラクトを追跡可能
問い
- ラップドアセットとは、ブリッジの管理権やコードに対する請求権以外の何でしょうか？
- 署名検証のバグによって、攻撃者は担保なしでトークンを発行することができるのか？
- なぜマルチチェーンの世界においてブリッジが最も攻撃されやすい部分なのか？
探究
- このブリッジは、一方のチェーンでコインを保持し、もう一方のチェーンでトークンを発行する。ラップされた資産は元のコインではなく、ブリッジの管理下およびコードに対する権利請求に過ぎない。コードに問題が生じると、その権利請求は無価値になってしまう。この仕組みにより流動性がチェーン間で分散されるが、同時に重要な依存関係も生じる。つまり、ユーザーはブリッジの運営者やコードが故障したり侵害されたりしないと信頼しなければならないのだ。
- 2022年2月2日、攻撃者はWormholeのSolanaコントラクトに存在する署名検証のバグを悪用しました。このバグにより、担保なしで12万枚のウォープドETHが発行され、その価値は約3億2000万ドルに上りました。Wormholeの支援者であるJump Cryptoは、エコシステムへの信頼を維持するためにその資金を補填しました。この事件は、1行の誤ったコードがブリッジの全ての裏付け資金を失わせる可能性があることを示したものです。
- 2022年における暗号資産ハッキングの中で最も多かったのはブリッジへの攻撃だった。3月にはRoninブリッジが約6億ドルの損失を被り、10月にはBNB Token Hubでも資金が盗まれた。これらの事件から、マルチチェーンの複雑さが高まるにつれて攻撃対象も増えていくことが明らかになった。ブリッジは、複数のチェーンからの流動性を単一の脆弱点に集中させるため、高価値な標的となるのだ。
- ブリッジのセキュリティモデルは、その信頼に関する前提条件に依存している。一部のブリッジでは、資金を盗んだり取引を検閲したりするために共謀しうる信頼できる運営者が利用される。他方で、速度とセキュリティの間で妥協を図り、ライトクライアント検証やオプティミスティックバリデーションが用いられる。採用されるメカニズムによってリスクプロファイルが決まり、分散度が高くなるほど最終確定までの時間が長くなったり、実装がより複雑になったりする傾向がある。
- ユーザーは、コントラクトに資産をロックして別のチェーン上でラップされたトークンを受け取ることでブリッジを利用します。この処理によりブリッジコントラクトへの承認が与えられ、ユーザーがそれを取り消さない限り継続的なリスクが生じます。ラップされたトークンを長期間保有し続けると、そのリスクは解消されません。ここには、チェーン間アクセスの利便性と、複数の管理層を維持する際のセキュリティ上の負担とのトレードオフが存在します。
- このアーキテクチャを検証するには、主要なチェーンのブロックエクスプローラーを開きます。ラップされたトークンのトランザクションを見つけ、それを発行したコントラクトアドレスを追跡します。そのブリッジに関連する監査報告書やセキュリティ評価も確認します。また、トランザクションを承認するのに必要なオペレーターやバリデータの数も記録しておきます。このような検証によって、その資産の価値の背後にある具体的な信頼の前提が明らかになります。
重要な事実
- ラップされたアセットとは、元のコインではなく、ブリッジの管理下にある資産やコードに対する権利です。
- 2022年2月のワームホール脆弱性を悪用し、担保なしで約3億2000万ドル相当の12万枚のラップされたETHが生成された。
- ジャンプ・クリプトは、エコシステムの信頼を維持するために、ウォームホールハックで失われた資金を補填しました。
- 2022年における暗号資産ハッキングの中で最も多かったのはブリッジ型のハッキングで、RoninやBNB Token Hubなどが該当する。
- 信頼できるブリッジには取引相手のリスクが存在し、運営者が理論上、共謀したり取引を検閲したりする可能性がある。
- ラップされたトークンを長期間保有し続けると、ブリッジのコードやオペレーターへのリスクにさらされ続けることになります。
演習 九・六・三・一
9集めるスマートコントラクトのバグ、運営者による共謀、検閲など、チェーン間ブリッジを使用する際に生じる9つの異なるリスクを挙げてください。各リスクについて、資金やアクセス権が失われる具体的なメカニズムを記述してください。
6まとめる9つのリスクを、その原因に基づいてコードの欠陥、人的ミス、悪意ある行為、システム的な故障、経済的インセンティブ、ユーザーの行動という6つのカテゴリーに分類します。
3絞り込む6つのカテゴリーを、ブリッジのリスクを軽減する3つの核心的な設計原則に絞り込む。信頼に関する前提を最小限に抑え、運用者とは独立してセキュリティが検証される仕組みに焦点を当てる。
1結晶化するラップされたアセットの価値は、その背後にあるブリッジコードとオペレーターの完全性に全て依存しているからである。
事実確認
日付、数字、主張は、下記に記載された公表資料と照合して確認しました。
- Wormhole Foundation, Wormhole Incident Report (February 2022)
- Chainalysis, Crypto Crime Report (2023)
- Ethereum.org, Documentation on Bridge Risks
- L2Beat, Bridges Risk Assessment