数年前、犯罪目的のハッカーたちが仮想通貨取引所を執拗に標的にし、数百万ドル相当の仮想通貨を盗み出しました。 今日、取引所がネットワークのセキュリティ強化に力を入れているため、窃盗犯たちはクロスチェーンブリッジ――異なるブロックチェーン間で仮想通貨を交換するためのツール――を標的にしています。
また、これまでの相次ぐ仮想通貨関連の攻撃とは異なり、こうした最近の窃盗事件の多くは、口座から数十億単位の資金を奪い去っており、おそらく不当なことではありますが、ブロックチェーンのセキュリティそのものに対する信頼を揺るがしています。
Consider this: Chainalysis, a blockchain analysis firm, estimates an astounding “$2 billion in cryptocurrency has been stolen across 13 separate cross-chain bridge hacks,” with most of that taken this year. 同社によると、 2022年に盗まれた資金総額の 69％は、橋梁への攻撃によるものでした。 さらに懸念されるのは、Chainalysisの推計によると、これらの盗難のうち約10億ドルが、 北朝鮮と関連があるとされるハッカーによるものであるということです。。
Some of the more notorious cross-chain bridge cryptocurrency thefts of 2022 include: Poly Network, $611 million (mostly returned); Nomad, $200 million; Harmony, $100 million; Ronin Network/Axie Infinity, as much as $625 million; and Wormhole, $325 million (restored to user accounts).
これほどの大規模な強盗事件は、企業のセキュリティ担当幹部にとって懸念材料となるはずです。 さまざまな業界にまたがる数多くの大手企業が、 分散型Web 3.0 サービスの潮流を活かすべく、ブロックチェーン関連の取り組みを相次いで展開しています。 銀行などの一部の企業は、独自の エンタープライズ向けブロックチェーン を活用して決済を円滑化している一方、ゲーム会社はこれをゲーム内の取引管理に活用しています。 こうしたすべてのプラットフォームをつなぐ基盤となるブリッジのセキュリティは、仮想通貨ブームが下火になった後も、ますます重要になっていくことでしょう。
クロスチェーン・ブリッジの仕組み
クロスチェーン・ブリッジに対する攻撃の深刻度や影響力がなぜ増大しているのかを理解するには、それらがブロックチェーンとどのように関連しているか、どのように機能するか、そして暗号資産取引所とどのように連携しているかを理解することが役立ちます。
まず第一に、ブロックチェーンそのものは、デジタルなものの存在を記録するための、反論の余地のないデジタル台帳に過ぎません。 それらは、ほぼ破ることができず、非常に安全であると考えられています。 ビットコインであれ、イーサであれ、あるいはその他の仮想通貨であれ、それぞれの仮想通貨には独自のブロックチェーンがあります。
「価値が集中するやいなや、攻撃者たちはそこへ押し寄せてきます。」 彼らにとっては格好の餌場です。”『The Bitcoin ABC Book』の著者、タラ・アニソン氏
仮想通貨を交換したい場合――例えば、ビットコインをイーサリアムに、あるいはドルに交換したい場合など――クロスチェーン・ブリッジが、異なるブロックチェーン間の変換に利用されます。
そこからは、事態がより危険になってきます。 現実の世界では、銀行に足を運んだり、空港の両替カウンターで外貨を交換したりすることができますが、デジタル世界では、仮想通貨を交換するために一連の技術的な手続きを経なければなりません。 このプロセスは、取引したい資金をクロスチェーンブリッジの仮想入口に預けることから始まります。 そこへ送金されると、しばしば「暗号資産トークン」と呼ばれるその資金は、スマートコントラクトにロックされます。スマートコントラクトとは、ブロックチェーンによって管理されるコンピュータコードに組み込まれた、自動的に執行される契約のことです。 （スマートコントラクトもハッキングされる可能性があります。）
その後、契約で定義された「為替レート」に基づいて、トークンがブリッジを介して送信され、別のブロックチェーン上のトークンと交換されます。 技術的にそれがどのように実現されるのかについては、 、これは別の議論のテーマ――あるいは博士論文のテーマ――となります。
一時的な集中化：弱点
ブロックチェーン・プラットフォームは、確かに 100％安全というわけではありません。 たとえ「ハッキング不可能」 との主張があってもです。 実際、サイバー犯罪者たちは 2019年に一連のいわゆる「 “51％攻撃」を仕掛け、仮想通貨ブロックチェーンの計算能力の半分以上を掌握しました。そして、本来は不変とされるはずのブロックチェーンの取引履歴を改ざんし、仮想通貨を盗み出しました。
「ブロックチェーンプラットフォームは、ハッキング不可能だと主張されているにもかかわらず、決して 100％安全というわけではありません。」
しかし、 51%攻撃は技術的に実行が難しいため、頻繁に発生することはまずないでしょう。 また、1つの組織がこれほどの大規模な演算能力を管理するには費用がかさみます。というのも、これほど高性能なハードウェアのコストは、 によると1時間あたり約752,000 ドルになるからです。。 そのため、サイバー犯罪者は、ブロックチェーンと密接に関連して稼働している「脆弱な標的」となる技術への攻撃に注力しています。これには、仮想通貨の保管に使用される のデジタルウォレットや 、そして最近ではクロスチェーンブリッジなどが含まれます。
クロスチェーン・ブリッジは、理論的には安全です。 しかし、ハッカーが取引の両端にあるツールのコーディング上の欠陥を発見した場合、ブリッジを通過する前や後にトークンを盗んだり、複製される前に通貨を鋳造したり、ブリッジを通過中の資金を奪ったりするなど、あらゆる不正行為を行う可能性があります。
このシステム的な脆弱性により、ブロックチェーン間の架け橋となる技術そのものの妥当性について、議論が巻き起こっています。 もし仮想通貨が、従来の金融（TradFi）の集中化に対抗する分散型金融（DeFi） システムであるべきものであるならば、ブリッジの両端のいずれかに仮想通貨を預けるという行為は、本質的に、仮想通貨の純粋主義者にとっては集中化の臭いがするものです。
[こちらもご覧ください：サプライズ！ またしてもゼロデイ脆弱性が発見されました。]
「価値が集中するやいなや、攻撃者たちが乗り込んでくるでしょう」と、 の『Game Against Cryptocurrency』（ ）の制作者であり、『The Bitcoin ABC Book』（ ）の共著者であるタラ・アニソン氏は述べています（この本は子供向けだけではありません）。 「彼らにとっては格好の標的であり、現在、橋が注目を集めているのです。」
ビクター・ヤング氏も同意見です。 分散型ブロックチェーン取引プラットフォーム「Analog」の創設者兼チーフアーキテクトは、このシステムを、銀行間を移動中に強盗に遭った装甲車の中に大金が積まれている状況に例えています。 「これらのブリッジはすべて、流動性を一か所に集中させることで、極めて中央集権化されています」と彼は述べています。 「資金の管理を一元化したカストディアンに任せる場合、そういう問題が生じるのです。」 「これは、解決しなければならない単一障害点です。」
ペースが速すぎませんか？
Big Dog Miningの成長担当ディレクターであり、 （）、CoinGeek（）、ブロックチェーン業界を追うオンラインメディアである のマーケティングスペシャリストであるニール・フォード氏は、そもそも「なぜクロスチェーントークンが必要なのか」と疑問を呈しています。 彼は、多くのクロスチェーン・ブリッジを稼働させているコードは可能な限り堅牢に記述されているものの、この分野に参入したばかりの一部企業は、セキュリティよりも成長を優先することに重点を置いているのではないかと懸念しています。
「誰もがペースを落とし、これは短距離走ではなくマラソンであることを認識し、サイバーセキュリティを最優先すべきです。」ブロックチェーンセキュリティ監査スタートアップ「Zellic」の共同創業者、スティーブン・トン氏
「人々がこのコードをただやみくもに公開しているだけで、十分にテストされていないという脆弱性や攻撃経路が見受けられます」と彼は述べています。 「数百万ドルあるいは数十億ドルもの暗号資産をそのクロスチェーン・ブリッジを通じて移動させるのであれば、そのブリッジを絶対に安全なものにしておく必要があります。」
ブロックチェーンセキュリティ監査のスタートアップ企業「Zellic」の共同創業者であるスティーブン・トン氏は、この問題の大部分は、最近の仮想通貨ブームの中で巨額の利益が得られると過度に期待し、かえって自社の利益を損なうほど急ぎすぎたクロスチェーン・ブリッジ企業に起因していると述べています。 「このエコシステムには、『まずは出荷して、後で質問する』という風土があると感じています。極めて競争の激しい市場環境を考えると、それは理解できることです」とトン氏は述べています。
しかし、ヤング氏は、それがトラブルの元になると指摘しています。というのも、クロスチェーン・ブリッジを提供する企業がコードを迅速にリリースすればするほど、そのコードに欠陥が含まれている可能性が高くなるからです。 「実のところ、この『ウェブ 3.0 』という新しい世界には、多くの素人がはびこっているのです」と彼は言います。 「[仮想通貨およびクロスチェーン・ブリッジ]の企業は、本当に基本に立ち返る必要があります。」 「誰もがペースを落とし、これは短距離走ではなくマラソンであることを認識し、サイバーセキュリティを最優先事項とすべきです。」
考えられる解決策
とはいえ、クロスチェーン・ブリッジのセキュリティを強化するのは容易なことではありません。 実際、イーサリアムの共同創設者ヴィタリック・ブテリン氏 をはじめとする一部の業界関係者は、 それが実現可能かどうかについて懐疑的です。 とはいえ、専門家たちは、ブロックチェーンのエコシステム全体をより安全にするためのいくつかのアプローチを提唱しています。
仮想通貨の取引そのものをやめるべきだと提案する人もいます。 しかし、それはまるで、「インターネットから切り離せば、パソコンがハッキングされるのを防げる」と誰かに言うようなものです。 そんなことはまずないでしょう。 人間は物々交換をするのが好きです。
それ以外の場合、ブテリン氏らは、仮想通貨プロジェクトを1つか2つのチェーンではなく、多数のチェーンにまたがって展開する「マルチチェーン・ブロックチェーン」アプローチへの移行を提唱しています。
「中央集権化では、攻撃の標的が1か所だけになってしまいます。まるで、全財産を1つの銀行に預けていて、誰かがやって来て金庫を爆破するようなものです」と、作家であり、ゲーム開発者、そして暗号資産分野の世界的な専門家であるアニソン氏は説明しています。 「しかし、複数の銀行に分散して保管されている場合、攻撃対象となる銀行が複数あることになります。そのため、ハッカーにとっては攻撃がより複雑になります。」
また、最善の選択肢の一つは、基本に立ち返り、より良い設計やコーディングの慣行を重視し、監査をさらに実施し、回避可能なミスについてはエンジニアや開発者に責任を負わせるべきだと主張する声もあります。
「中央集権化には、攻撃の標的が一点に集中するというリスクがあります。まるで、全財産をひとつの銀行に預けておき、誰かがやってきて金庫を爆破するようなものです。」タラ・アニソン
監査業務で生計を立てているゼリックのトン氏は、これには限界があると指摘しています。 同氏によると、多くのハッキングは、コードの監査が行われた後に変更が加えられたことで発生しており、その後の監査が行われなかったため、見逃されていた重大な脆弱性が持ち込まれているとのことです。
「フォローアップ監査があれば発見できたはずのバグを数多く目にしてきました。本番環境にリリースされるべきではなかった、愚かなバグがたくさんあったのです」と彼は言います。 「ハッキングを防ぐためにできる限りの対策を講じたにもかかわらず被害に遭う場合と、コードに不備がないか確認するためのテストを行わなかったためにハッキング被害に遭う場合とでは、違いがあります。」
ブロックチェーンはダウンしていません
アニソン氏は、最近相次ぐハッキング事件があるとはいえ、決して「天が崩れ落ちる」ような事態ではないことを認識することが重要だと述べています。 人々はひと息ついて、新しい技術には成長に伴う課題がつきものだということに気づく必要があります。 ブロックチェーン自体は依然として幅広い有用性を持ち、デジタル商取引の概ね安全な基盤となっている、と彼女は述べています。
「ブロックチェーンは生き残るでしょう」と彼女は言います。 「不満を抱く投資家も出てくるでしょうが、仮想通貨の価格が突然下落したり、中央集権型あるいは分散型の取引所でハッキング被害が発生したりしたからといって、ブロックチェーンが崩壊することはありません。」