3000ドルのサーバー1台を用いたシミュレーションにより、Aptosブロックチェーンに存在した致命的な脆弱性が約700億ドル相当の暗号資産インフラに大きなリスクをもたらす可能性が示された。
今回問題となったのは、Facebookの中止プロジェクトDiemに由来するスマートコントラクト言語Moveを採用したレイヤー1ブロックチェーン、Aptosに関する脆弱性である。Suiも同言語を使用している。
2月下旬、ブロックチェーンセキュリティ企業Hexensの研究者たちは、Aptosのスマートコントラクト実行環境であるAptos Move仮想マシンに致命的な脆弱性を発見し、同プロジェクト開発チームへ報告した。Hexensはこの問題を「stale-cacheバグ」と称し、ソフトウェアがある種類のオンチェーンリソースを別の種類と誤認識するタイプコンフュージョンの脆弱性だと説明した。
Aptosチームは指摘を受けて速やかにパッチを適用し、資金被害は確認されていない。
Aptos広報はCoinDeskに対し、「2月25日にバグバウンティプログラムを通じて問題を通報され、社内で調査を進めていました。発見から数時間以内に修正を開発・テストし、メインネットへ展開しました。ユーザーや資金に影響はありません」と述べ、実際の悪用可能性についても「現実環境での悪用は極めて低いとの分析結果です」と否定的見解を示した。
しかし、研究者の発見はエコシステムがいかに深刻な潜在的リスクに直面していたかを明らかにしている。
この種のバグはMove言語の権限管理方法に起因する。ステーブルコインの発行権、ブリッジやレンディング市場の管理といった権限はオンチェーンリソースとして直接管理されるため、攻撃を受ければ単一プロトコルを超えた広範な影響が及ぶ。
Hexensの研究者は、このバグをイーサリアム型チェーンにおける攻撃者管理コードが他契約のストレージを書き換え、型保証を無効化する技術に相当すると説明した。
PolygonのCTO、Mudit Gupta氏は独自に検証した証明概念（PoC）について「攻撃は主張通りに動作し、理にかなっている」と評価し、「いくつかの条件はあるがメインネット上で満たされている」と語った。
またGrego AIはHexensのPoCを検証し、約2億5000万ドル相当のAptosネイティブTVLが直接的リスクに晒されていると推定し、これはクロスチェーンリスク解析とは別であると述べた。
この脆弱性はHexensのCTO兼共同創業者Vahe Karapetyan氏が発見。未対応のままだった場合、ブリッジ、ステーブルコイン、DeFi、中央集権型取引所など多方面に数十億ドル規模のシステムリスクをもたらし、Aptosを超えた広範な危機を引き起こす恐れがあった。
実験では約3000ドルのサーバーを用いてAptosメインネットに近しい条件を模擬。攻撃者に特権的な権限は必要なく、より少ないコストで攻撃が可能だと指摘された。
研究チームは約20回にわたり攻撃経路を試行し、約17～18回成功させた。失敗してもネットワーク停止などの致命的な影響はなく、再試行が可能という結果だった。
シミュレーション環境は30以上のバリデータノードクラスタ、実際に近いステーク分布、自然なトランザクション負荷、頻繁な競合状況を再現した。さらに「非武装調整技術」と呼ぶ手法でメモリプールやブロック生成状況を事前に測定し、確率的不確実性を大幅に減少させたことで攻撃成功率を高めた。
Hexensは公開データに基づき、Aptos上のDeFiプロトコル、トークン化資産、ステーブルコインやリキッドステーキングシステムへの直接かつ一次的な露出を数十億ドル規模と評価。
さらに、この種の攻撃がシステムリスクとして拡大するケースを念頭に置き、Hexensは７００億ドル規模の広範なシステミックリスクを示唆。これはブリッジ、クロスチェーン通信、ステーブルコイン管理フロー、中央集権取引所経由でアクセスされる価値を含む。
Grego AIはこの攻撃によりLayerZero、Wormhole、USDCのCCTPが保有する権限も対象になると指摘。CEOのJustus Hanna氏は「このバグを実際に利用できれば全TVLを好きなように奪取可能だった」と述べた。
今回のシミュレーションはブロックチェーン技術に未発見の脆弱性が依然として存在することを示す。
もし悪用された場合、昨年のBybitハッキングの15億ドルを大幅に超える被害発生もあり得た可能性がある。直近では6月にZcashで4年間発見されなかった重大バグが判明し、同トークンは38％急落した。これに先だち大規模ブリッジハックや悪用で市場信頼が揺らぐ事態が複数起きている。
なお、700億ドルの数字はUSDCの大量発行とCircleのクロスチェーン転送プロトコル（CCTP）を前提とした推計であり、実際に攻撃が起きればCircleの移動停止措置が想定されるが、ステーブルコイン発行元は法的な凍結措置に慎重な姿勢を示しているため議論は残る。つまり全関係者が介入すれば700億ドルの全額流出は回避できるものの、それでも業界には大きな動揺をもたらしたことに変わりはない。
PoCテストが示したのは、クロスチェーンシステムの中心にある権限アクセス、すなわちブリッジ機能、署名権限、マスターミンターロール、プロトコルの会計状態への攻撃が実効的である点だ。研究者たちはマスターミンター類似のロール乗っ取りを検証し、正規の管理ルートを利用することも示したが、実際のトークン発行はしなかった。支配的な攻撃経路は中央集権型取引所を通じ、特にオンチェーン活動を取引所への預金受け入れに結びつけるAptosブリッジが主要な箇所とされた。
報告のあった当日、Hexensは緊急対応部隊「SEAL911」を設置し、対策調整を開始。SEAL911は暗号資産エコシステムの重要な緊急対応組織の一つで、ボランティアのセキュリティグループである。
数時間以内に主要ベンダーへ通知し、午後には4つの大手下流プロジェクトへ連絡がなされ、ローカル実行可能なPoC資料と権限パターンの分析が共有された。
パッチを反映したプルリクエストは2月27日に公開され、Aptosはプライベートバリデータ向けの修正が公開コミット前に適用済みだったと付け加えた。
Hexensは技術的反論や証拠に基づく反論は受けていないとし、懸念点は攻撃の確率的要素にあったが、チームの調整はこれを低減する目的だったと主張する。
資金の盗難は起きていないものの、このシミュレーションはブロックチェーンレベルの侵害において、レート制限や発行者凍結、ブリッジ管理、取引所監視、バリデータのパッチ適用が単なる二次的安全策ではなく、バグの市場全体への影響拡大を防ぐか許すかの境界線になり得ることを示した。