数千ドルのサーバー一台で、約700億ドル相当の暗号資産インフラを脅かす攻撃経路をシミュレートできることが明らかとなった。パッチ適用済みのAptosブロックチェーンに存在した致命的な欠陥は、わずか数百ドルのコストで90％近い成功率でコアセキュリティ保証を破る可能性を研究者に与えた。

問題の中心はAptosの脆弱性にあり、同ブロックチェーンはFacebookの中止プロジェクトDiemに由来するスマートコントラクト言語Moveを使用したLayer-1チェーンである。なお、Suiも同言語を採用している。

2月下旬、ブロックチェーンセキュリティ企業Hexensの研究者は、Aptos Move仮想マシンの実行環境に致命的な脆弱性を発見し、プロジェクト開発チームに報告した。この「stale-cacheバグ」と呼ばれる問題は、オンチェーンリソースの型を誤認識させるタイプコンフュージョン脆弱性を引き起こす。

Aptosチームは指摘を受けすぐにパッチを適用し、資金被害は発生しなかった。広報担当はCoinDeskに対し、「バグバウンティプログラムを通じて2月25日に潜在的問題が通知され、即座に社内調査、修正、テスト、メインネット展開を行い、ユーザーや資金に影響はなかった」と説明した。また悪用の可能性についても「現実環境での悪用可能性は極めて低い」と否定した。

しかし、研究者らの発見は業界がどれほど深刻な脆弱性の危機に直面していたかを示す。Move言語は権限管理をオンチェーンリソースとして直接処理するため、脆弱性が侵害されるとステーブルコイン発行権やブリッジ管理、レンディング市場の運営権などが影響範囲を拡大する。

Hexensはこのバグを、イーサリアム型チェーン上で攻撃者が他コントラクトのストレージへ書き込み、型の保証を覆すことに相当すると説明。Polygon CTOのMudit Guptaは同攻撃のPoCを検証し、「理にかなっており、メインネットで実行条件が満たされている可能性が高い」と語った。

さらにHexensのPoCを検証したGrego AIは、約2億5000万ドル相当のAptosネイティブTVLが直接リスクに晒されていると推定し、これはクロスチェーンリスクとは別の分析だとした。

この脆弱性を発見したHexens CTO兼共同創業者Vahe Karapetyan氏は、未対応ならばブリッジやステーブルコイン、DeFi、中央集権取引所にわたり数十億ドルのシステミックリスクをもたらし、Aptosを超えた業界全体の危機に繋がる可能性があったと指摘。

実験に必要なインフラは約3000ドルのサーバー1台で済み、悪意のある攻撃者はバリデーター権限や特権的なプロトコル権限なしに攻撃が可能な条件だった。Hexensチームはシミュレーション環境で20回攻撃を試行し17～18回成功。失敗時も再挑戦機会は残った。

シミュレーションは30以上のバリデータノード、メインネットに近いステーク分布、有機的トランザクショントラフィック、頻繁な実行競合を忠実に再現。さらに「非武装調整技術」と呼ばれる手法でメモリプールやブロック構築を予測し確率的要素の不確実性を減少させ、実用的で信頼性の高い攻撃経路を構築した。

報告時点のデータに基づき、HexensはAptos上のDeFiプロトコル、トークン化資産、ステーブルコインインフラ、リキッドステーキングシステムを含む直接プロトコル露出を数十億ドル規模と評価したものの、攻撃の影響は1チェーンにとどまらず広範囲に波及するとしている。

Hexensはより包括的なシステミックリスクを約700億ドルと見積もり、これはブリッジ、クロスチェーンメッセージング、ステーブルコイン管理フロー、中央集権取引所を通じてアクセス可能な価値を含む。Grego AIはLayerZero、Wormhole、USDCのCCTPで保持されるプロトコル権限も攻撃可能と指摘し、CEOのJustus Hanna氏は「攻撃者がこのバグを利用すれば全TVLを奪うことも可能だった」と述べた。

本シミュレーションは、ブロックチェーン技術が未知のバグに依然として弱い現状を示す。もし実際に悪用されていた場合、過去のBybitの15億ドルハッキングより大幅に大きな被害が予想された。今年6月にはZcash(ZEC)の4年間未検出の重大バグも判明し、38％急落するなど市場不安が続いている。

700億ドルという数字は、USDCステーブルコインを大量発行しCircleのクロスチェーン転送プロトコル（CCTP）を利用するシナリオに基づく推定。しかし実際にこの額の資産を動かした場合、Circleのような発行元が移動停止などの介入を行う可能性がある一方、法的許可なしの資産凍結は行わないとしているため議論の余地がある。すなわち全関係者の介入がなければ全額損失は難しいが、業界に大きな動揺をもたらしたことは疑いない。

PoCテストは、ブリッジや署名権限、マスターミンターロール、プロトコル会計状態などクロスチェーンシステム中核権限への攻撃が現実的であることを示した。研究者はマスターミンター権限の乗っ取りを検証し、正当な管理経路の悪用も試みたが、実際のトークン発行は行わなかった。主要な攻撃経路は中央集権取引所経由で、特にオンチェーン活動を取引所預金に結ぶAptosブリッジのルートが指摘された。

対応として報告当日、Hexensは緊急対応部隊「SEAL911」を設置。同部隊は暗号資産エコシステムの初期対応を担うボランティアセキュリティグループである。

設置後数時間でベンダーに通知し、主要4下流プロジェクトに連絡。ローカル実行可能なPoC資料と権限パターン分析を提供した。修正を反映したプルリクエストは2月27日に公開され、Aptosはプライベートバリデータへのパッチを公開コミット前に配布済みと説明した。

Hexensは現在まで技術的反論や証拠に基づく論駁は受けておらず、懸念は攻撃の確率的側面にあったが、チーム調整はそれを大幅に軽減することを目的としたと主張している。

資金盗難は未発生だが、本シミュレーションはレート制限、発行者の凍結、ブリッジ制御、取引所監視、バリデータパッチ適用が二次的安全策ではなく、バグの市場全体への悪用を阻止する境界線となり得ることを示した。