ソラナ財団、機密転送のゼロデイ脆弱性を修正完了

ソラナ財団は3日、ブロックチェーン上の機密転送に影響を与えるゼロデイ脆弱性が修正されたと発表した。

この脆弱性はToken-2022標準のトークンで利用される「ZK ElGamal Proof」プログラムに存在し、4月16日に発見された後、わずか2日間で対応が完了した。

脆弱性の内容と対応

問題となった脆弱性は、ゼロ知識証明の検証に使用される「ZK ElGamal Proof」プログラムに関するものだった。このプログラムはソラナ（SOL）のToken-2022標準に準拠するトークンの機密転送において重要な役割を果たしている。

Fiat-Shamirトランスフォーメーションでトランスクリプトを生成する際、一部の代数的要素がハッシュに含まれていなかったことが原因だった。

この欠陥により、悪意ある攻撃者は巧妙な手法で偽造した証明を作成し、無制限のトークン発行や他のアカウントからのトークン引き出しなど、許可されていない操作を実行できる可能性があった。発見後、ソラナ財団は問題を一般に公表せず、非公開でバリデーター（取引検証者）と連携して対応した。

影響は限定的、資金は安全

幸いなことに、この脆弱性による実際の被害は報告されていない。ソラナ財団は「すべての資金は安全であり、潜在的な脆弱性が悪用された事例は確認されていない」と述べている。機密転送機能自体もまだ広く採用されておらず、影響は限定的だった。

一部の報道では、パクソス社が発行するステーブルコインUSDPがこの機能を利用していると指摘されていたが、パクソスはザ・ブロックの取材に対し「機密転送は現在、パクソスが発行するいかなるステーブルコインでも稼働していない」と否定し、「したがって、このソラナのパッチはパクソスやその製品には影響していない」と明言した。

ただし、パクソスのUSDPはソラナのトークン拡張機能を活用しており、永続的な委任、メタデータポインター、トランスファーフックなどの機能を使用している。

分散化をめぐる議論

ソラナ財団が脆弱性の情報を一般公開する前に非公開で対応したことについては、ネットワークの分散化の度合いに関する議論が起きている。

カーブ・ファイナンスの貢献者はソラナ財団とバリデーターの緊密な関係に懸念を示し、すべてが非公開で行われた点を問題視した。

分散型システムにおいては、こうした対応が権力の集中につながる可能性があるとの批判がある一方で、ソラナの共同創設者アナトリー・ヤコベンコは、バリデーターの調整はソラナに特有のものではなく、イーサリアム（ETH）でも同様のコンセンサス構築メカニズムが存在すると指摘した。

ソラナのバリデーターが迅速に行動し、潜在的な被害を未然に防いだことは評価されているものの、透明性の観点からは課題が残された。分散型システムにおける信頼性と安全性のバランスをどう取るかという問題は、今後も新しい暗号資産（仮想通貨）業界全体で議論されていくだろう。

Hideaki Wakabayashi

2021年に仮想通貨投資を始める。以降、同分野での専門的な知識を深めながら自身のブログ・ライターとしても活動。仮想通貨に関する深い理解を活かして複数のメディアで多くの記事を執筆。初心者に寄り添った簡潔な解説を得意とする。